Historie HTTPS: Od Chrome 68 v roce 2018 k 99 % webového provozu v roce 2026

Jak se HTTPS stal standardem internetu: od Chrome 68 do roku 2026

Když v roce 2026 navštívíte jakýkoli web, v adresním řádku prohlížeče Chrome uvidíte buď ikonu zámku, nebo vůbec nic — HTTPS je dnes brán jako samozřejmost, nikoli jako úspěch. Naopak, pokud web stále běží na čistém HTTP, prohlížeč přes celou obrazovku zobrazí velké červené varování: „Útočníci se mohou pokusit ukrást vaše údaje." Konverze takových stránek je nulová.

Uplynulo osm let od chvíle, kdy Chrome 68 v červenci 2018 poprvé hromadně zobrazil označení „Not Secure" vedle adres HTTP stránek. Nebyla to nejhlasitější událost v historii webu, ale právě ona donutila miliony provozovatelů webů během několika měsíců přejít na HTTPS — něco, co dříve odkládali roky.

Tento článek je o tom, jak jsme se sem dostali, co se za osm let změnilo a kam web směřuje v blízké budoucnosti. Technické detaily (jak nakonfigurovat TLS na Nginxu, který certifikát vybrat, jak provést migraci bez ztráty SEO) jsou v samostatných článcích — odkážeme na ně tam, kde to bude vhodné.

Jak jsme žili před HTTPS: krátká předhistorie

HTTPS se neobjevil v roce 2018 spolu s Chrome 68. Protokol SSL vznikl už v roce 1995 ve společnosti Netscape — doslova na úsvitu komerčního webu. Až do roku 2010 ho však používaly hlavně banky, platební brány a přihlašovací stránky velkých služeb. Zbytek internetu jel na obyčejném HTTP.

To nedělalo problém, dokud platily dvě podmínky: provoz šel přes důvěryhodné poskytovatele a uživatel neseděl ve veřejných sítích. Oba předpoklady narazily na realitu na začátku roku 2010:

• Veřejné Wi-Fi se stalo dostupné všude. Kavárny, hotely, letiště, metro. V otevřené bezdrátové síti mohl jakýkoli soused se snifferem číst veškerý HTTP provoz kolem sebe — hesla, cookies, soukromé zprávy.
• Poskytovatelé internetu začali injektovat reklamu. Nejprve cíleně, poté plošně. Pokud web jel na HTTP, poskytovatel mohl legálně (a často nelegálně) vložit svůj vlastní banner přímo do těla stránky během přenosu.
• Sledování provozu přešlo na průmyslovou úroveň. Po roce 2013, kdy vyšly Snowdenovy dokumenty, bylo jasné, že hromadné odposlouchávání provozu není teorie, ale skutečná praxe na úrovni států.

Dešifrování každého HTTPS požadavku stálo zdroje a čas, ale do roku 2014 už to nebyla vážná překážka. Web byl připraven na přechod — chyběl jen impulz.

2014: Google činí HTTPS faktorem hodnocení

V srpnu 2014 Google oficiálně oznámil, že HTTPS bude zohledněno v algoritmech vyhledávání. V té době byla váha tohoto signálu minimální — společnost přímo uvedla: „ovlivňuje méně než 1 % dotazů a má menší váhu než kvalita obsahu". Ale směr byl jasný: bezpečné weby získají výhodu a nezabezpečené budou postupně ztrácet pozice.

Mnozí signál ignorovali. Tehdy přechod na HTTPS vypadal jako nelehký úkol: bylo třeba koupit certifikát ($50–500 ročně u komerčních CA), správně nakonfigurovat server, opravit mixed content, přepsat všechny interní odkazy a nastavit 301 přesměrování z HTTP. Pro většinu malých a středních podniků to byly peníze a hodiny práce bez zjevné návratnosti.

Pak Google zatáhl za páky, které nakonec situaci otočily.

2015: spuštění Let's Encrypt

V dubnu 2015 startuje projekt Let's Encrypt — nezisková certifikační autorita, která vydává SSL certifikáty zdarma. Podporují ji Mozilla, EFF, Cisco, Akamai a další hráči odvětví. To zcela odstraňuje finanční bariéru: certifikát teď stojí nula dolarů a automaticky se obnovuje každých 90 dní.

Do konce roku 2016 vydal Let's Encrypt 24 milionů certifikátů. Do roku 2020 — miliardu. Stal se de facto standardem pro většinu webů na světě.

2017: varování na formulářích s hesly

V lednu 2017 začíná Chrome 56 zobrazovat označení „Not Secure" u HTTP stránek, které obsahují pole pro heslo nebo číslo karty. Není to ještě plné označování všeho HTTP, ale viditelný signál je jasný: Google připravuje přechod.

Provozovatelé webů dostali rok a půl času na varování. Kdo poslouchal, migroval. Kdo ne, dostal v červenci 2018 překvapení.

Červenec 2018: Chrome 68 a konec éry HTTP

24. července 2018 vychází Chrome 68. V changelogu řádek, který změnil web: nyní všechny weby bez HTTPS dostávají v adresním řádku označení „Not Secure", bez ohledu na to, zda stránka obsahuje formuláře, nebo ne.

V té době Chrome ovládal více než 60 % globálního trhu prohlížečů. To znamenalo: 6 z 10 návštěvníků vašeho webu vidělo varování okamžitě po vstupu. Konverze e-shopů na HTTP klesly 2–3× už první den po aktualizaci prohlížeče.

Co následovalo

Během několika měsíců od vydání Chrome 68 se podíl HTTPS provozu na internetu zvýšil z ~70 % na ~85 %. Do konce roku 2019 na 95 %. Byl to nejrychlejší hromadný přechod na nový bezpečnostní standard v historii webu.

Tato čísla Chrome publikuje v otevřeném Transparency Report — lze je kdykoli ověřit. Dynamika je zřejmá: za osm let prošel HTTPS cestou od „bylo by fajn" po „bez něj web neexistuje".

Co HTTPS ve skutečnosti dělá

Šifrování bývá chápáno úzce — „data se nedají přečíst". Ve skutečnosti HTTPS řeší tři samostatné úlohy, známé v kryptografii jako triáda CIA (Confidentiality, Integrity, Authenticity).

Důvěrnost

Provoz mezi prohlížečem a serverem je šifrován moderními algoritmy (AES-128-GCM, AES-256-GCM, ChaCha20-Poly1305). Pokud někdo zachytí pakety, uvidí jen nesmyslný proud bajtů. Rozluštění hrubou silou by trvalo déle než dobu existence Sluneční soustavy.

Integrita

Každý přenášený blok je podepsán kryptografickým MAC (Message Authentication Code). Pokud se někdo pokusí změnit paket v přenosu — třeba jen jediný bit — příjemce uvidí, že podpis nesedí, a relaci ukončí. To znamená: poskytovatel internetu už nemůže vložit reklamní banner do vaší stránky a útočník na veřejné Wi-Fi nemůže do odpovědi podstrčit JavaScript malware.

Autenticita

Certifikát vydaný důvěryhodnou autoritou (CA) dokazuje, že doména patří právě té organizaci, která ji provozuje. To znemožňuje vytvořit phishingovou kopii vašeho webu na stejné doméně — prohlížeč jednoduše nedůvěřuje padělanému certifikátu. Útoky typu man-in-the-middle (MITM), kdy se útočník vydává za skutečný server, jsou bez kompromitované CA nemožné.

Co HTTPS NEDĚLÁ

Je důležité tomu rozumět, protože „mám SSL, jsem v bezpečí" je častý omyl. HTTPS chrání pouze přenosový kanál. Vše ostatní jsou samostatné úlohy:

Co se v HTTPS změnilo za osm let po Chrome 68

Článek z roku 2018 popisoval situaci v té době. Za osm let se technologie webového šifrování zásadně změnila — a v mnoha případech k lepšímu bez nutnosti zásahu ze strany provozovatele webu, na úrovni samotných prohlížečů a serverů.

TLS 1.3 se stal výchozím

TLS 1.3 vyšel v srpnu 2018 jako RFC 8446 — prakticky současně s Chrome 68. První handshake se zkrátil z 2 RTT na 1 RTT, přibyla podpora 0-RTT pro opakovaná spojení (session resumption), zastaralé šifry (RC4, 3DES, SHA-1) byly z protokolu úplně vyřazeny.

V roce 2026 je TLS 1.3 standard v Nginxu, Apache, IIS i Caddy „out of the box". TLS 1.2 je stále podporován kvůli kompatibilitě, ale TLS 1.0 a 1.1 jsou oficiálně deprecated podle IETF (RFC 8996) a prohlížeče je blokují.

Mixed content je plně blokován

Dříve, pokud HTTPS stránka načítala obrázek nebo skript přes HTTP, prohlížeč ukázal rozbitý zámeček, ale obsah pustil. V roce 2020 začal Chrome blokovat mixed content ve výchozím nastavení: nejprve skripty a styly, poté obrázky, nakonec všechno. V roce 2026 se smíšený obsah jednoduše nenačte — bez výjimek.

HTTP/3 jde do produkce

HTTP/3 nad QUIC (UDP místo TCP) je v roce 2026 podporován Cloudflare, Googlem, Facebookem, většinou velkých CDN a moderními verzemi Nginxu. Technicky vyžaduje HTTPS — bez šifrování QUIC prostě neexistuje. To znamená, že přechod na HTTPS otevřel cestu k nové generaci transportních protokolů. Detaily v našem materiálu o HTTP/3 a jeho dopadu na výkon.

Certifikáty se zkrátily

V roce 2020 byla maximální platnost veřejných certifikátů omezena na 398 dní (dříve 3 roky). V roce 2024 CA/Browser Forum odhlasovalo další zkracování — až na 47 dní do roku 2029. Logika je prostá: krátká platnost = rychlejší odvolání kompromitovaných certifikátů. V praxi to znamená: bez automatizace (Certbot, acme.sh) se certifikáty ručně udržovat nedají.

HSTS a preload listy se staly normou

HSTS hlavička (HTTP Strict Transport Security), která byla v článku z roku 2018 zmíněna jako „bonus", je v roce 2026 standardní součástí základní konfigurace. Velké weby (Google, Facebook, banky) jsou zahrnuty v preload listu, který je zakompilován přímo do prohlížečů. To znamená: prohlížeč ani při prvním přístupu nezkusí HTTP.

Na obzoru — post-kvantová kryptografie

V roce 2024 začal Chrome experimentovat s post-kvantovými algoritmy výměny klíčů (X25519Kyber768). Logika: až (nebo pokud) se objeví dostatečně silné kvantové počítače, dokážou prolomit současnou kryptografii s veřejným klíčem. Inženýři velkých společností proto už nyní připravují odolné standardy. V roce 2026 je to ještě experiment, ale za 3–5 let se to stane novým standardem — stejně jako svého času TLS 1.3.

Pokud váš web stále běží na HTTP

V roce 2026 je to vzácný případ, ale takové weby se ještě objevují — většinou staré firemní stránky, které se roky neaktualizovaly, nebo interní systémy, ke kterým se nikdo nedostal. Pokud je to váš případ, migrovat jste měli včera.

Stručný plán bez detailů:

1. Získat certifikát. Pro většinu webů — bezplatný Let's Encrypt přes Certbot. Pro e-commerce s finanční zárukou — komerční OV/EV od DigiCert nebo Sectigo.
2. Nakonfigurovat server. Nginx nebo Apache s podporou TLS 1.2/1.3, moderními šiframi a OCSP stapling. Kontrola — SSL Labs, známka A nebo vyšší.
3. Opravit mixed content. Všechny interní odkazy, cesty k obrázkům, CSS a JS převést na HTTPS. Kontrola — DevTools v Chrome, záložka Console zobrazí všechny blokované zdroje.
4. Nastavit 301 přesměrování z HTTP na HTTPS. Kvůli vyhledávačům a uživatelům, kteří přicházejí přes staré odkazy. Bez přesměrování se ztrácejí SEO pozice.
5. Aktualizovat Google Search Console. Přidat HTTPS verzi jako samostatnou property, aktualizovat sitemap.xml, ověřit indexaci.
6. Zapnout HSTS. Hlavičku, která prohlížeč nutí používat výhradně HTTPS. Po ověření, že vše funguje — žádost o zařazení do preload listu.

Co čeká HTTPS v následujících letech

Pokud trend posledních osmi let bude pokračovat, dalších pět let přinese několik důležitých změn.

47denní certifikáty

CA/Browser Forum schválilo plán postupného zkracování maximální platnosti certifikátů: 200 dní (2026) → 100 dní (2027) → 47 dní (2029). To definitivně ukončí trh ručního managementu certifikátů — bez automatizace žádný web nepřežije. Dobrá zpráva: Certbot a acme.sh takto fungují léta, takže není třeba se učit nic zvláštního.

Post-kvantová kryptografie

V letech 2025–2027 budou prohlížeče a servery postupně získávat podporu hybridních algoritmů výměny klíčů (klasický + post-kvantový). Do roku 2030 se to stane standardem. Provozovatel webu nebude muset dělat nic zvláštního — aktualizace Nginxu nebo Apache nové algoritmy automaticky přinese.

ECH (Encrypted Client Hello)

Rozšíření TLS, které šifruje i jméno domény během handshake. V současnosti je hostname vidět v otevřené podobě — i když je zbytek provozu šifrován, poskytovatel vidí, jaké weby navštěvujete. ECH to uzavírá. Cloudflare už podporuje, Chrome zapíná postupně. Široká podpora se očekává do roku 2027.

Přechod na DoH/DoT ve výchozím nastavení

Šifrování DNS dotazů (DNS over HTTPS, DNS over TLS) je už v Chrome a Firefoxu zapnuté, ale zatím podmínečně. Za pár let to bude výchozí chování — a poslední velká „díra" v tom, co o vaší aktivitě vidí poskytovatel, se uzavře. Detaily v našem materiálu „Co je DNS a jak funguje".

Časté dotazy