Što HTTPS zapravo štiti
Od 2018. HTTPS je postao apsolutni standard weba. Zahvaljujući inicijativi Let's Encrypt i pravilima preglednika (Chrome i Firefox označavaju HTTP stranice kao „nesigurne”), više od 95 % globalnog web-prometa šifrirano je putem TLS-a.
To šifriranje štiti sadržaj vaše komunikacije s kraja na kraj: vaše lozinke, podatke o bankovnoj kartici, poruke i datoteke. Netko tko presretne vaš Wi-Fi promet vidi samo kriptografski šum, ne može pročitati ono što šaljete ili primate.
Javni Wi-Fi u 2026. stoga je bitno manje opasan nego 2015. kad je riječ o izravnom presretanju podataka. Većina alarmantnih savjeta koje čitate naslijeđena je iz doba kad je HTTP još bio sveprisutan.
Što ne štiti
HTTPS ne skriva metapodatke. Na mreži koju ne kontrolirate, promatrač može vidjeti na koju se domenu spajate (ne točan URL, ali domenu: zahvaljujući SNI-ju koji je vidljiv u čistom tekstu tijekom TLS rukovanja), u koje vrijeme, koliko dugo i koliko se podataka razmjenjuje. Ti metapodaci mnogo otkrivaju.
Napadač na istoj mreži također može izvesti DNS spoofing ako vaš uređaj ne koristi DNS over HTTPS: zamjenjujući legitimne DNS odgovore adresama koje upućuju na njegove vlastite poslužitelje. Može stvoriti lažnu pristupnu točku s potpuno istim nazivom kao legitimni Wi-Fi (napad Evil Twin) kako bi presreo vaše veze prije nego što dođu do interneta. Može i pokušati SSL stripping na rijetkim stranicama koje nemaju uključen HSTS.
Stvarni rizici u 2026.
U praksi su preostali rizici na javnom Wi-Fiju u 2026. sljedeći:
- →Evil Twin: lažna Wi-Fi mreža koja nosi potpuno isti naziv kao i legitimna, tehnika osobito česta u zračnim lukama i velikim željezničkim kolodvorima. Spajate se na ono što izgleda kao prava mreža, ali vaš promet prolazi kroz opremu pod kontrolom napadača.
- →DNS spoofing ako vaš uređaj ne nameće DNS over HTTPS: vaši DNS upiti mogu biti preusmjereni na zlonamjerne poslužitelje.
- →Aplikacije koje za neke funkcije još uvijek koriste obični HTTP (autentifikacija, sinkronizacija): rijetke u 2026., ali postoje.
- →Otmica sesije (session hijacking) na stranicama bez pravilno konfiguriranih Secure i SameSite kolačića.
Praktične preporuke
Na javnoj Wi-Fi mreži aktiviranje VPN-a prije bilo kakvog povezivanja i dalje je najbolja praksa. VPN eliminira napad Evil Twin (vaš promet je šifriran prije nego što uopće napusti uređaj) i DNS spoofing (VPN koristi vlastite šifrirane DNS poslužitelje).
Onemogućite automatsko Wi-Fi povezivanje na telefonu: to je značajka koja vas automatski spaja na bilo koju mrežu s nazivom koji ste već koristili. Praktična je, ali je iskorištavaju napadi Evil Twin.
Provjerite da osjetljive stranice (bankarstvo, e-pošta, kupnja) prikazuju HTTPS lokot u pregledniku prije nego što bilo što unesete. Na iOS-u i Androidu ozbiljne aplikacije nativno nameću HTTPS.
Javni Wi-Fi manje je opasan nego prije deset godina, no to nije razlog da spustite gard. Preostali rizici: Evil Twin, DNS spoofing, loše konfigurirane aplikacije, stvarni su i iskoristivi. Uz uključen VPN i DNS over HTTPS zaštićeni ste od gotovo svih praktičnih napada na neosiguranoj mreži.
- Google, "HTTPS encryption on the web", Google Transparency Report (accessed 2026)
- Emily Schechter, "A milestone for Chrome security: marking HTTP as 'not secure'", Google Chrome Blog, 2018
- Cloudflare, "Encrypt it or lose it: how encrypted SNI works", Cloudflare Blog, 2018
- P. Hoffman & P. McManus, "RFC 8484: DNS Queries over HTTPS (DoH)", IETF, 2018
- M. Souppaya & K. Scarfone, "NIST SP 800-153: Guidelines for Securing Wireless Local Area Networks (WLANs)", NIST, 2012
Uključite Trasimène VPN