Fundamentos de HTTP e HTTPS

O HTTP (Protocolo de Transferência de Hipertexto) é a base da comunicação na web. Ele define como os navegadores solicitam recursos aos servidores e como os servidores respondem. O HTTP não mantém estado — cada solicitação é independente.

Uma solicitação HTTP tem:

• Método: GET, POST, PUT, DELETE, PATCH, OPTIONS
• URL: o caminho do recurso
• Cabeçalhos: metadados (Content-Type, Authorization, User-Agent)
• Corpo: dados enviados com solicitações POST/PUT

Uma resposta HTTP inclui:

• Código de status: 200 OK, 301 Redirecionamento, 401 Não autorizado, 403 Proibido, 404 Não encontrado, 500 Erro do servidor
• Cabeçalhos: Content-Type, Set-Cookie, cabeçalhos CORS
• Corpo: HTML, JSON ou outro conteúdo

Métodos HTTP e suas implicações de segurança:

• GET — deve ser somente leitura; os parâmetros na URL são registrados
• POST — envia dados no corpo; não é seguro por si só
• PUT/DELETE — devem ser protegidos por autenticação
• OPTIONS — revela os métodos permitidos; pode expor configurações incorretas

HTTPS = HTTP + criptografia TLS. Ele oferece:

• Criptografia: os dados em trânsito são criptografados (confidencialidade)
• Integridade: alterações indevidas são detectadas por meio de MAC
• Autenticação: a identidade do servidor é verificada por meio de um certificado

Sem HTTPS, todos os dados, incluindo senhas e tokens de sessão, ficam visíveis para interceptadores na rede.

Ao conectar-se a um site HTTPS:

1. O cliente envia os conjuntos de cifras compatíveis
2. O servidor envia o certificado e a cifra escolhida
3. O cliente verifica o certificado usando autoridades certificadoras confiáveis (CA)
4. A troca de chaves estabelece uma chave de sessão compartilhada
5. A comunicação criptografada é iniciada

Cabeçalhos importantes de segurança das respostas:

• Strict-Transport-Security (HSTS) — força o uso de HTTPS
• Content-Security-Policy (CSP) — controla quais recursos são carregados
• X-Frame-Options — impede o sequestro de cliques
• X-Content-Type-Options — impede a inferência do tipo MIME

HTTP não mantém estado, portanto as sessões são rastreadas por meio de cookies. Atributos seguros de cookies:

• HttpOnly — não pode ser acessado por JavaScript (impede o roubo por XSS)
• Secure — enviado somente por HTTPS
• SameSite=Strict/Lax — impede ataques de CSRF

HTTPS criptografa apenas o canal, não o conteúdo. Um site de phishing pode usar HTTPS (o ícone de cadeado) enquanto hospeda conteúdo malicioso. HTTPS confirma a identidade do servidor, mas não sua confiabilidade.

As versões modernas do HTTP melhoram o desempenho:

• HTTP/2 — multiplexação, compressão de cabeçalhos e envio pelo servidor via TLS
• HTTP/3 — usa QUIC (baseado em UDP) para reduzir a latência, especialmente em dispositivos móveis

Ambos exigem TLS. As implicações de segurança são semelhantes às do HTTP/1.1, mas a superfície de ataque muda ligeiramente.

Ferramentas para analisar HTTP:

• Burp Suite — intercepta e modifica solicitações e respostas
• curl — envia solicitações pela linha de comando
• Wireshark — captura tráfego bruto (HTTP visível; HTTPS criptografado)

Qual atributo de cookie HTTP impede que o cookie seja acessado por JavaScript, protegendo-o contra roubo por XSS?

HTTP é a base da comunicação na web. HTTPS adiciona criptografia TLS, integridade e autenticação do servidor. Os cabeçalhos de segurança reforçam a proteção das aplicações web. Os cookies devem ser marcados com os atributos HttpOnly, Secure e SameSite. Lembre-se: HTTPS criptografa o canal, mas não garante que um site seja confiável.