HTTP — текстовый, открытый протокол. Человек посередине (MITM-атака) может прочитать все данные. HTTPS — HTTP over TLS — данные шифруются. TLS (Transport Layer Security) — обновлённая версия SSL. В процессе Handshake: сервер отправляет сертификат, браузер проверяет его, формируется общий ключ, все данные передаются в зашифрованном виде.
SSL-сертификаты: DV (Domain Validated — автоматический, Let's Encrypt выдаёт бесплатно), OV (Organization Validated — проверяется компания), EV (Extended Validation — высокое доверие). Заголовок HSTS (HTTP Strict Transport Security) — браузер принудительно использует HTTPS. Certificate Pinning в мобильных приложениях предотвращает подмену сертификата. Получение бесплатного сертификата через Let's Encrypt — сегодня стандартная практика.