HTTPは丸見え、HTTPSは封筒入り

素のHTTP通信は暗号化されていないハガキのようなもので、経路上で盗み見（盗聴）や書き換え（改ざん）が可能です。 HTTPSは、通信全体を暗号化した「封筒入りの手紙」です。現在はWebサイトのほぼ100%がHTTPS化されており、ブラウザは鍵マークで示します。

証明書 ― サーバーの身分証明書

「なりすまし防止」を支えるのがSSL/TLS証明書です。信頼できる認証局が「このドメインの持ち主は本物です」と保証する、サーバーの身分証明書です。 かつて証明書は有料でしたが、現在はLet's Encryptが無料で発行しています。Webアプリ公開講座でRender.comが自動発行してくれたのは、まさにこれです。

Cookieとセッション ― ログイン状態の正体

HTTPは1往復ごとに相手を忘れる（ステートレス）性質があります。では、なぜログイン状態が保たれるのでしょう？ この合言葉がCookie、サーバー側の対応表がセッションです。Cookieが盗まれると他人になりすまされるため、HTTPSでの保護が不可欠——すべてがつながっています。

• HTTPの弱点とHTTPSの仕組み
• SSL/TLS証明書の役割
• Cookieとセッションの基礎