Как работает TLS (упрощённо)
- Сервер отправляет TLS-сертификат (подписанный доверенным CA)
- Клиент проверяет подпись и генерирует симметричный ключ сессии
- Весь последующий обмен зашифрован этим ключом
Сертификаты
- Let's Encrypt — бесплатные сертификаты, автоматическое обновление через Certbot
- DV / OV / EV — уровни валидации: только домен, организация или расширенная проверка
HTTP Strict Transport Security
Заголовок Strict-Transport-Security запрещает браузеру обращаться к сайту по HTTP — даже если пользователь вручную введёт http://.