HTTPS en todas partes

HTTPS Everywhere es una extensión de navegador gratuita y de código abierto, ya descontinuada , para Google Chrome , Microsoft Edge , Mozilla Firefox , Opera , Brave , Vivaldi y Firefox para Android , desarrollada en colaboración por The Tor Project y la Electronic Frontier Foundation (EFF). ^{[ 4 ]} Hace que los sitios web utilicen automáticamente una conexión HTTPS más segura en lugar de HTTP , si la admiten. ^{[ 5 ]} La opción "Encrypt All Sites Eligible" permite bloquear y desbloquear todas las conexiones del navegador que no sean HTTPS con un solo clic. ^{[ 6 ]} Debido a la adopción generalizada de HTTPS en la World Wide Web y la integración del modo solo HTTPS en los principales navegadores, la extensión se retiró en enero de 2023. ^{[ 7 ]}

HTTPS Everywhere se inspiró en el creciente uso de HTTPS por parte de Google ^{[ 8 ]} y está diseñado para forzar el uso de HTTPS automáticamente siempre que sea posible. ^{[ 9 ]} El código se basa, en parte, en la implementación de HTTP Strict Transport Security de NoScript , pero HTTPS Everywhere pretende ser más sencillo de usar que la funcionalidad HTTPS forzada de NoScript, que requiere que el usuario añada manualmente los sitios web a una lista. ^{[ 4 ]} La EFF proporciona información a los usuarios sobre cómo añadir conjuntos de reglas HTTPS a HTTPS Everywhere, ^{[ 10 ]} e información sobre qué sitios web admiten HTTPS. ^{[ 11 ]}

El Observatorio SSL es una función de HTTPS Everywhere introducida en la versión 2.0.1 ^{[ 14 ]} que analiza los certificados de clave pública para determinar si las autoridades de certificación se han visto comprometidas ^{[ 16 ]} y si el usuario es vulnerable a ataques de intermediario (man-in-the-middle) ^{[ 17 ]} . En 2013, el Comité Asesor de Seguridad y Estabilidad de la ICANN (SSAC) señaló que el conjunto de datos utilizado por el Observatorio SSL a menudo trataba a las autoridades intermedias como entidades diferentes, lo que inflaba el número de autoridades de certificación. El SSAC criticó al Observatorio SSL por subestimar potencialmente de forma significativa los certificados de nombre internos y señaló que utilizaba un conjunto de datos de 2010 ^{[ 18 ].}

La actualización a la versión 2018.4.3, publicada el 3 de abril de 2018, introduce la función "Actualizaciones continuas del conjunto de reglas". ^{[ 19 ]} Para aplicar reglas HTTPS actualizadas, esta función de actualización ejecuta una coincidencia de reglas en un plazo de 24 horas. La EFF creó un sitio web llamado https-rulesets para este propósito. ^{[ 20 ]} Esta función de actualización automática se puede desactivar en la configuración del complemento. Antes de este mecanismo de actualización, las actualizaciones del conjunto de reglas solo se realizaban mediante actualizaciones de la aplicación. Incluso después de la implementación de esta función, todavía se incluyen conjuntos de reglas empaquetados en las actualizaciones de la aplicación.

Dos estudios han recomendado incorporar la funcionalidad HTTPS Everywhere en los navegadores de Android. ^{[ 21 ] [ 22 ]} En 2012, Eric Phetteplace la describió como "quizás la mejor respuesta a los ataques de estilo Firesheep disponible para cualquier plataforma". ^{[ 23 ]} En 2011, Vincent Toubiana y Vincent Verdot señalaron algunos inconvenientes del complemento HTTPS Everywhere, entre ellos que la lista de servicios que admiten HTTPS necesita mantenimiento, y que algunos servicios se redirigen a HTTPS aunque todavía no estén disponibles en HTTPS, lo que no permite al usuario de la extensión acceder al servicio. ^{[ 24 ]} Otras críticas son que los usuarios pueden ser inducidos a creer que si HTTPS Everywhere no cambia un sitio a HTTPS, es porque no tiene una versión HTTPS, cuando podría ser que el administrador del sitio no haya enviado un conjunto de reglas HTTPS a la EFF, ^{[ 25 ]} y que debido a que la extensión envía información sobre los sitios que el usuario visita al Observatorio SSL, esto podría usarse para rastrear al usuario. ^{[ 25 ]}

La iniciativa HTTPS Everywhere inspiró alternativas de cifrado oportunistas :

• 2022: Firefox para Android y Firefox Focus Modo solo HTTPS ^{[ 26 ] [ 27 ]}
• 2021: Modo solo HTTPS de Google Chrome ^{[ 28 ] [ 29 ]}
• 2020: Firefox incorpora el modo HTTPS solamente ^{[ 30 ] [ 31 ]}
• 2019: HTTPZ ^{[ 32 ]} para navegadores compatibles con Firefox / WebExt
• 2017: Smart-HTTPS (código cerrado desde la versión 0.2 ^{[ 33 ]} )

• Seguridad de la capa de transporte (TLS): protocolos criptográficos que proporcionan seguridad en las comunicaciones a través de una red informática.
• Privacy Badger : una extensión gratuita para navegadores creada por la EFF que bloquea los anuncios y las cookies de seguimiento .
• Suiza (software) : una utilidad de monitorización de red de código abierto desarrollada por la EFF para monitorizar el tráfico de red.
• Let's Encrypt : una autoridad de certificación X.509 automatizada y gratuita diseñada para simplificar la configuración y el mantenimiento de sitios web seguros cifrados con TLS.
• HTTP Strict Transport Security : un mecanismo de política de seguridad web que ayuda a proteger los sitios web contra ataques de degradación de protocolo y secuestro de cookies .