الـ HTTPS ليس سوى HTTP يعمل داخل قناة مشفّرة بـ TLS. يمنحك TLS (أمان طبقة النقل) ثلاث ضمانات: السرّية (confidentiality) (حركة المرور مشفّرة)، والسلامة (integrity) (لا يمكن العبث بها دون كشف)، والمصادقة (authentication) (أنت تتحدّث فعلاً مع الخادم المذكور في الشهادة). يُتفاوَض عليه في مصافحة (handshake) قبل إرسال أيّ HTTP:
text
Client Server
│──── ClientHello ──────────────────────▶│ (TLS versions, cipher suites, random)
│◀─── ServerHello + Certificate ─────────│ (chosen cipher + cert with public key)
│ │
│ verify cert against a trusted CA │
│ agree on keys (e.g. ECDHE key exchange)│
│ │
│──── Finished (encrypted) ──────────────▶│
│◀─── Finished (encrypted) ───────────────│
│========= encrypted application data ====│ (now HTTP flows, encrypted)