HTTPS คืออะไร? ทำความเข้าใจ SSL/TLS และการเข้ารหัสที่ปกป้องเว็บของคุณ

จดหมายโปรเจคที่เปิดอ่านได้

สมมติว่าคุณเขียนจดหมายใส่ซอง แต่ไม่ปิดผนึก ส่งไปทางไปรษณีย์ คนที่อยู่ระหว่างทาง—พนักงานคัดแยก คนขับรถ หรือใครก็ตามที่จับซอง—สามารถเปิดอ่านได้ทุกคน นั่นคือสิ่งที่เกิดขึ้นกับเว็บไซต์ที่ใช้ HTTP ธรรมดา

ทุกครั้งที่คุณกรอกรหัสผ่าน หมายเลขบัตรเครดิต หรือข้อความส่วนตัวบนเว็บที่ไม่มี HTTPS ข้อมูลเหล่านั้นเดินทางผ่านอินเทอร์เน็ตแบบ "ข้อความเปล่า" ใครก็ตามที่อยู่บนเส้นทางเดียวกันสามารถอ่านได้หมด

HTTPS คืออะไร SSL TLS ทำงานยังไง และทำไมเราควรสนใจ—บทความนี้จะเล่าให้ฟังแบบเข้าใจง่าย ไม่ต้องเป็นสายเทคก็อ่านได้

HTTP vs HTTPS ต่างกันอย่างไร

HTTP ย่อมาจาก HyperText Transfer Protocol เป็นโปรโตคอลที่เบราว์เซอร์ใช้สื่อสารกับเซิร์ฟเวอร์เว็บไซต์ ทุกครั้งที่คุณพิมพ์ URL แล้วกด Enter เบราว์เซอร์จะส่งคำขอ (request) ไปหาเซิร์ฟเวอร์ แล้วเซิร์ฟเวอร์ส่งหน้าเว็บกลับมา

ปัญหาของ HTTP คือ ไม่มีการเข้ารหัส ข้อมูลที่ส่งไป-กลับเป็นข้อความธรรมดา หากมีคนดักจับ (packet sniffing) บนเครือข่ายเดียวกัน เช่น ใน Wi-Fi สาธารณะ ก็จะอ่านได้ทั้งหมด

HTTPS คือ HTTP ที่เพิ่มชั้นความปลอดภัยเข้าไป ตัว S ย่อมาจาก Secure โดยใช้โปรโตคอล SSL/TLS เข้ารหัสข้อมูลระหว่างทาง แม้ใครจะดักจับได้ ก็จะเห็นเป็นข้อมูลที่อ่านไม่ออก

จุดเปรียบเทียบ	HTTP	HTTPS
การเข้ารหัส	ไม่มี	มี (SSL/TLS)
พอร์ตเริ่มต้น	80	443
ความเป็นส่วนตัว	ไม่มี	มี
การยืนยันตัวตน	ไม่มี	มี (ใบรับรอง)
การจัดอันดับ SEO	ไม่ได้เปรียบ	ได้เปรียบ

ตั้งแต่ปี 2018 เป็นต้นมา เบราว์เซอร์อย่าง Chrome และ Firefox เริ่มแสดงคำเตือน "Not Secure" บนเว็บที่ใช้ HTTP และตั้งแต่ปี 2020 หลายเว็บที่ไม่มี HTTPS ถูกระบบจัดอันดับของ Google ลดคะแนนลง

SSL/TLS ทำงานอย่างไรแบบเข้าใจง่าย

ก่อนอื่นต้องเคลียร์ความเข้าใจ: SSL และ TLS คือคนละเวอร์ชันของสิ่งเดียวกัน

SSL (Secure Sockets Layer) เป็นโปรโตคอลแรกที่ Netscape พัฒนาขึ้นในปี 1995 แต่มีช่องโหว่จึงถูกแทนที่ด้วย TLS (Transport Layer Security) ในปี 1999 ปัจจุบันเวอร์ชันล่าสุดคือ TLS 1.3 (ออกปี 2018) แต่คนยังเรียกติดปากว่า "SSL Certificate" จนกลายเป็นคำทั่วไป

กระบวนการ Handshake แบบเข้าใจง่าย

ลองนึกภาพว่าคุณเข้าเว็บธนาคาร เบราว์เซอร์และเซิร์ฟเวอร์ต้อง "จับมือ" กันก่อน ขั้นตอนนี้เรียกว่า TLS Handshake

1. Client Hello — เบราว์เซอร์ส่งคำทักทายไปหาเซิร์ฟเวอร์ บอกว่า "ฉันรองรับ TLS เวอร์ชันนี้ และอัลกอริทึมเข้ารหัสพวกนี้นะ"
2. Server Hello — เซิร์ฟเวอร์ตอบกลับ เลือกเวอร์ชันและอัลกอริทึมที่รองรับ พร้อมส่งใบรับรอง (Certificate) มาให้
3. ตรวจสอบใบรับรอง — เบราว์เซอร์ตรวจสอบว่าใบรับรองนี้ออกโดยผู้มีอำนาจจริง ยังไม่หมดอายุ และชื่อโดเมนตรงกับเว็บที่เข้า
4. สร้างกุญแจร่วม — ทั้งสองฝ่ายใช้กระบวนการ Key Exchange (ส่วนใหญ่เป็น ECDHE) เพื่อสร้างกุญแจลับร่วมกัน โดยที่ไม่มีใครดักจับได้
5. เริ่มเข้ารหัส — จากนี้ทุกข้อมูลที่ส่งกันจะถูกเข้ารหัสด้วยกุญแจที่เพิ่งสร้างขึ้น

กระบวนการทั้งหมดใช้เวลาเพียงไม่กี่มิลลิวินาที ผู้ใช้แทบไม่รู้สึกถึงความล่าช้าเลย

การเข้ารหัสแบบสมมาตร vs อสมมาตร

TLS ใช้ทั้งสองแบบร่วมกัน:

• อสมมาตร (Asymmetric) — ใช้คู่กุญแจ: กุญแจสาธารณะ (Public Key) กับกุญแจส่วนตัว (Private Key) ข้อมูลที่เข้ารหัสด้วยกุญแจสาธารณะ ต้องถอดด้วยกุญแจส่วนตัวเท่านั้น ใช้ในขั้นตอน Handshake เพื่อสร้างกุญแจร่วม
• สมมาตร (Symmetric) — ใช้กุญแจเดียวกันเข้ารหัสและถอดรหัส เร็วกว่ามาก ใช้สำหรับข้อมูลจริงหลังจาก Handshake เสร็จ

เปรียบเหมือนการเจรจาธุรกิจ: ตอนแรกใช้ทนาย (อสมมาตร) ช่วยสร้างความไว้วางใจและตกลงเงื่อนไข พอเซ็นสัญญาแล้วก็ทำงานกันตรงๆ (สมมาตร) ไม่ต้องผ่านทนายทุกครั้ง

ใครออกใบรับรอง และทำไมต้องเชื่อ

ใบรับรอง SSL/TLS ไม่ใช่สิ่งที่เว็บไซต์ทำเองได้ ต้องออกโดย Certificate Authority (CA) ซึ่งเป็นองค์กรที่ได้รับการยอมรับจากเบราว์เซอร์และระบบปฏิบัติการทั่วโลก

CA ที่คุ้นตา เช่น:

• DigiCert
• Sectigo (เดิมชื่อ Comodo)
• GlobalSign
• Let's Encrypt (ฟรี ไม่แสวงหากำไร)
• Cloudflare

เบราว์เซอร์เชื่อ CA เหล่านี้เพราะระบบปฏิบัติการ (Windows, macOS, Android, iOS) มีรายชื่อ CA ที่เชื่อถือได้ฝังอยู่ รายการนี้ดูแลโดยองค์กรเช่น Mozilla, Google, Apple และ Microsoft หาก CA ไหนทำผิดพลาดบ่อย ก็จะถูกถอดออกจากรายการ

ระดับการตรวจสอบของใบรับรอง

ไม่ใช่ใบรับรองทุกใบเท่ากัน มี 3 ระดับ:

• Domain Validation (DV) — ตรวจเพียงว่าผู้ขอมีสิทธิ์ควบคุมโดเมนหรือไม่ ใช้เวลาไม่กี่นาที Let's Encrypt ออกใบประเภทนี้ฟรี
• Organization Validation (OV) — ตรวจสอบองค์กรที่ขอด้วย ยืนยันชื่อ ที่อยู่ โทรศัพท์ ใช้เวลา 1-3 วัน
• Extended Validation (EV) — ตรวจสอบเข้มข้นที่สุด ในอดีตเบราว์เซอร์จะแสดงชื่อองค์กรบนแถบ地址 ปัจจุบันเบราว์เซอร์ส่วนใหญ่เลิกแสดงแล้ว แต่ยังมีใช้ในธนาคารและสถาบันการเงิน

ห่วงโซ่ความเชื่อ (Chain of Trust)

เมื่อเว็บส่งใบรับรองมา เบราว์เซอร์จะตรวจสอบ "ห่วงโซ่" จากใบรับรองของเว็บ ขึ้นไปจนถึง Root CA ที่ฝังในระบบ หากทุกข้อต่อถูกต้อง ก็จะเชื่อใบรับรองนั้น

Root CA (ฝังใน OS)
    └── Intermediate CA
            └── ใบรับรองของเว็บไซต์

หากข้อใดขาด หรือใบรับรองหมดอายุ เบราว์เซอร์จะแสดงคำเตือนสีแดง "Your connection is not private" ซึ่งหากเจอบ่อยๆ อาจเป็นสัญญาณว่ามีบางอย่างผิดปกติ—อาจเป็นเพราะใบรับรองหมดอายุ หรือในกรณีร้ายแรง อาจเป็นการโจมตีแบบ Man-in-the-Middle

ทำไมเว็บที่ไม่มี HTTPS อันตราย

ลองนึกถึงสถานการณ์จริง

เมื่อไม่กี่ปีที่แล้ว มีรายงานว่าผู้ใช้ในร้านกาแฟที่เชื่อมต่อ Wi-Fi สาธารณะ ถูกดักจับข้อมูลเข้าสู่ระบบเว็บที่ใช้ HTTP แม้เว็บนั้นจะเป็นเว็บข่าวดัง แต่เพราะหน้าล็อกอินยังใช้ HTTP อยู่ ผู้โจมตีจึงอ่านรหัสผ่านได้ทั้งหมด

ความเสี่ยงหลักของเว็บที่ไม่มี HTTPS:

• การดักฟังข้อมูล — ใครก็ตามที่อยู่บนเครือข่ายเดียวกันสามารถอ่านข้อมูลที่ส่งผ่านได้
• การปลอมแปลงเนื้อหา — ผู้โจมตีสามารถแก้ไขหน้าเว็บระหว่างทาง เช่น เพิ่มฟอร์มปลอมเพื่อให้คุณกรอกข้อมูล
• การฉีดโฆษณาหรือสคริปต์ชั่วร้าย — ผู้ให้บริการเครือข่ายหรือคนในกลางสามารถแทรกโฆษณา สคริปต์ละเมิด หรือมัลแวร์เข้าไปในหน้าเว็บได้
• การติดตามพฤติกรรม — ผู้ให้บริการอินเทอร์เน็ตสามารถเห็นทุกหน้าที่คุณเข้า และส่งข้อมูลนั้นต่อได้

กรณีศึกษา: Superfish ของ Lenovo

ในปี 2015 เลโนโวติดตั้งซอฟต์แวร์ Superfish ในแล็ปท็อปที่ขาย ซอฟต์แวร์นี้สกัดกั้นการเชื่อมต่อ HTTPS แล้วแทรกโฆษณาลงไปในหน้าเว็บ ทำให้เครื่องทุกเครื่องที่ติดตั้งมีช่องโหว่ร้ายแรง ผู้ใช้คิดว่าเข้าเว็บปลอดภัย แต่จริงๆ แล้วมีคนกั้นกลางอยู่ กรณีนี้สร้างความตื่นตระหนกในวงการและทำให้หลายคนเริ่มสนใจเรื่อง HTTPS จริงจังขึ้น

วิธีตรวจสอบว่าเว็บปลอดภัยก่อนกรอกข้อมูล

ไม่ต้องเป็นสายเทคก็ตรวจสอบได้ นี่คือขั้นตอนง่ายๆ

1. มองหาไอคอนกุญแจ

เบราว์เซอร์ส่วนใหญ่แสดงไอคอนรูปกุญแจที่แถบ URL หากเว็บใช้ HTTPS คลิกที่ไอคอนนั้นจะเห็นรายละเอียดใบรับรอง

2. ตรวจสอบ URL ขึ้นต้นด้วย https://

อย่าเพิ่งเชื่อแค่ไอคอน ดู URL จริงๆ ว่าขึ้นต้นด้วย https:// ไม่ใช่ http:// บางเว็บอาจมีไอคอนกุญแจที่หลอกลวงอยู่ในหน้าเว็บเอง

3. คลิกดูรายละเอียดใบรับรอง

คลิกขวาที่ไอคอนกุญแจ → เลือก "Certificate" หรือ "Connection is secure" → ดูรายละเอียด:

• ชื่อโดเมนตรงกับเว็บที่เข้าหรือไม่
• ออกโดย CA ที่รู้จักหรือไม่
• ยังไม่หมดอายุ

4. ระวังคำเตือนของเบราว์เซอร์

หากเบราว์เซอร์แสดงหน้าเตือนสีแดง อย่ากด "Proceed anyway" โดยไม่คิด คำเตือนนั้นมีเหตุผล อาจเป็นใบรับรองหมดอายุ ชื่อโดเมนไม่ตรง หรือมีคนพยายามดักจับการเชื่อมต่อ

5. ใช้เครื่องมือตรวจสอบเพิ่มเติม

สำหรับสายเทค สามารถใช้:

• SSL Labs (ssllabs.com/ssltest) — ตรวจสอบการตั้งค่า TLS ของเว็บแบบละเอียด ให้คะแนน A+ ถึง F
• browser devtools — เปิดแท็บ Security ใน Chrome DevTools เพื่อดูสถานะการเชื่อมต่อ
• curl — ใช้คำสั่ง curl -vI https://example.com เพื่อดูรายละเอียด TLS

curl -vI https://example.com 2>&1 | grep -E "SSL|TLS|subject|issuer|expire"

6. ตรวจสอบ HSTS

HSTS (HTTP Strict Transport Security) เป็นการบอกเบราว์เซอร์ว่า "เว็บนี้ใช้ HTTPS เท่านั้น ห้ามเปลี่ยนเป็น HTTP" หากเว็บมี HSTS แสดงว่าเว็บนั้นจริงจังเรื่องความปลอดภัย ตรวจสอบได้จาก Response Header:

Strict-Transport-Security: max-age=31536000; includeSubDomains

บทสรุป: HTTPS ไม่ใช่ตัวเลือก แต่เป็นมาตรฐาน

HTTPS คืออะไร SSL TLS ทำงานยังไง—ตอบสั้นๆ คือระบบที่เข้ารหัสข้อมูลระหว่างเบราว์เซอร์กับเซิร์ฟเวอร์ ยืนยันตัวตนของเว็บไซต์ และป้องกันการดักจับ-ปลอมแปลง ในยุคที่ข้อมูลส่วนบุคคลมีค่า การใช้ HTTPS ไม่ใช่สิ่งฟุ่มเฟือย แต่เป็นพื้นฐานของเว็บยุคใหม่

หากคุณเป็นเจ้าของเว็บ ติดตั้งใบรับรอง SSL วันนี้—Let's Encrypt ให้ฟรี ตั้งค่าใช้เวลาไม่ถึงชั่วโมง หากคุณเป็นผู้ใช้ อย่ากรอกข้อมูลสำคัญบนเว็บที่ไม่มี HTTPS และระวังคำเตือนของเบราว์เซอร์

---

คุณเคยเจอคำเตือน "Connection not secure" แล้วกดผ่านไปเลยไหม? คราวหน้าที่เจอ คุณจะตัดสินใจอย่างไร? มาแลกเปลี่ยนกันได้ในคอมเมนต์ หรือถ้ามีคำถามเรื่องการติดตั้ง SSL บนเว็บของตัวเอง ทิ้งคำถามไว้ได้เลย จะมาเขียนบทความต่อให้