HTTPS คืออะไร ทำไมเว็บต้องมี และ BrewInTH ทำให้ยังไง

คุณเคยเห็นเบราว์เซอร์ขึ้นคำว่า "ไม่ปลอดภัย" ข้างที่อยู่เว็บไหม ลูกค้าที่เห็นคำนี้มักไม่กล้ากรอกเบอร์โทร ไม่กล้าล็อกอิน และหลายคนปิดหน้าไปเลย ทั้งที่เว็บอาจไม่ได้มีอะไรผิด แค่ยังไม่มี HTTPS

บทความนี้อธิบายแบบไม่ต้องเป็นโปรแกรมเมอร์ว่า HTTPS คืออะไร ทำไมเว็บทุกเว็บต้องมี BrewInTH ทำส่วนไหนให้คุณอัตโนมัติ และมี 4 จุดในโค้ดของเว็บเองที่ทำให้รูปแม่กุญแจหายได้ พร้อม prompt ให้ AI ตรวจและแก้

สรุปสั้นก่อนอ่าน
🔒 HTTPS คือการเข้ารหัสข้อมูลระหว่างผู้เข้าเว็บกับเว็บ เห็นเป็นรูปแม่กุญแจหน้าที่อยู่
🔒 ทุกโปรเจกต์บน BrewInTH ได้ที่อยู่ https://ชื่อเว็บ.host.brewinth.net พร้อมใบรับรองตั้งแต่สร้าง ไม่ต้องซื้อหรือตั้งเอง
🔒 คนที่พิมพ์ http:// จะถูกพาไป https:// ให้อัตโนมัติ
🔒 โดเมนของตัวเองก็ได้ HTTPS ฟรี ระบบออกใบรับรองให้หลังตรวจ DNS ผ่าน
🔒 แม่กุญแจหายส่วนใหญ่เกิดจากโค้ดของเว็บ เช่น รูปที่ยังเป็น http:// หรือ APP_URL ผิด ให้ AI แก้ได้

HTTPS คืออะไร

ทุกครั้งที่มีคนเปิดเว็บ ข้อมูลจะวิ่งผ่านหลายจุดกว่าจะถึงเว็บของคุณ ทั้ง Wi-Fi ของร้านกาแฟ เครือข่ายมือถือ และผู้ให้บริการอินเทอร์เน็ต ถ้าเป็น HTTP ธรรมดา ข้อมูลวิ่งแบบอ่านออกได้ทุกตัวอักษร ใครที่อยู่ระหว่างทางก็แอบดูหรือแก้ได้

HTTPS คือ HTTP ที่ถูกเข้ารหัส ข้อมูลระหว่างเบราว์เซอร์กับเว็บจะอ่านไม่ออกสำหรับคนกลางทาง และเบราว์เซอร์ยังตรวจได้ด้วยว่ากำลังคุยกับเว็บตัวจริง ไม่ใช่เว็บปลอม สิ่งที่ทำให้ตรวจได้คือ ใบรับรอง (certificate) ที่ออกโดยหน่วยงานที่เบราว์เซอร์เชื่อถือ

เมื่อทุกอย่างถูกต้อง เบราว์เซอร์จะแสดงรูปแม่กุญแจ หรือไอคอนปรับแต่งข้างที่อยู่ ถ้าไม่ถูกต้องจะขึ้น "ไม่ปลอดภัย" หรือหน้าเตือนสีแดงเต็มจอ

ทำไมเว็บทุกเว็บต้องมี HTTPS

• ความเชื่อใจของลูกค้า คำว่า "ไม่ปลอดภัย" ทำให้คนไม่กล้ากรอกฟอร์ม ไม่กล้าล็อกอิน และไม่กล้าจ่ายเงิน
• รหัสผ่านและข้อมูลส่วนตัว ฟอร์มล็อกอิน เบอร์โทร ที่อยู่จัดส่ง ต้องเข้ารหัสระหว่างทางเสมอ
• ความสามารถของเบราว์เซอร์ หลายอย่าง เช่น กล้อง ตำแหน่งที่ตั้ง การแจ้งเตือน และการติดตั้งเว็บเป็นแอป เปิดให้เฉพาะเว็บที่เป็น HTTPS
• บริการภายนอก webhook ของ LINE และผู้ให้บริการรับชำระเงินส่วนใหญ่ยอมส่งข้อมูลไปที่อยู่ HTTPS เท่านั้น
• การค้นหา Google ใช้ HTTPS เป็นสัญญาณหนึ่งในการจัดอันดับ

สรุปคือวันนี้เว็บที่ไม่มี HTTPS แทบใช้งานจริงไม่ได้ แม้จะเป็นเว็บแสดงข้อมูลอย่างเดียว

BrewInTH ทำอะไรให้บ้าง

1. ที่อยู่ฟรีได้ HTTPS ตั้งแต่สร้างโปรเจกต์

ทุกโปรเจกต์ได้ที่อยู่ของตัวเองแบบ https://ชื่อเว็บ.host.brewinth.net ใบรับรองเป็นแบบครอบทุกชื่อใต้โดเมนนั้น (wildcard) จึงใช้ได้ทันทีที่สร้างโปรเจกต์ ไม่ต้องรอออกใบใหม่ทีละเว็บ ก่อนนำเว็บขึ้นครั้งแรก ที่อยู่นี้จะขึ้นหน้าบอกว่ายังไม่ได้เผยแพร่ แต่เป็น HTTPS แล้ว

2. พา http ไป https ให้เอง

ถ้ามีคนพิมพ์ http:// หรือกดลิงก์เก่าที่ยังเป็น http ระบบจะพาไป https:// ที่อยู่เดียวกันแบบถาวร (301) ไม่ต้องเขียนกฎ redirect ในโค้ดเอง

3. บอกเบราว์เซอร์ให้ใช้ HTTPS เสมอ

คำตอบของแอปบน BrewInTH มีส่วนหัว Strict-Transport-Security (HSTS) อายุ 1 ปี เบราว์เซอร์ที่เคยเข้าเว็บแล้วจะไปที่ https เองทุกครั้ง แม้ผู้ใช้จะพิมพ์ http

4. ถอดรหัสให้ แล้วบอกแอปว่ามาทาง https

การเข้ารหัสจบที่ระบบของ BrewInTH แล้วคำขอถูกส่งต่อให้แอปของคุณภายในเครือข่ายส่วนตัว พร้อมส่วนหัว X-Forwarded-Proto: https แอปจึงไม่ต้องจัดการใบรับรองเอง แต่ต้องอ่านส่วนหัวนี้ให้ถูก (ดูหัวข้อจุดที่ทำให้แม่กุญแจหายด้านล่าง) สำหรับเว็บ PHP ระบบตั้งค่า HTTPS=on ให้เองเมื่อคำขอมาทาง https

5. ต่ออายุใบรับรองให้เอง

ใบรับรองที่ระบบออก (ผ่าน Let's Encrypt) ต่ออายุอัตโนมัติ ไม่มีวันที่ต้องจำหรือไฟล์ที่ต้องอัปโหลดเอง

โดเมนของตัวเองได้ HTTPS ไหม

ได้ และฟรี เมื่อเชื่อมโดเมนของคุณเอง เช่น www.myshop.com (ต้องใช้แพ็กเกจที่เชื่อมโดเมนได้) ขั้นตอนคือเพิ่มโดเมน ตั้ง DNS 2 รายการ แล้วกด ตรวจ DNS หลังผ่าน สถานะจะเป็น กำลังออก TLS ระหว่างที่ระบบขอใบรับรองให้โดเมนนั้น แล้วเปลี่ยนเป็น พร้อมใช้งาน เมื่อเสร็จ

สองเรื่องที่ควรรู้

• ปุ่ม ใช้เป็นลิงก์หลัก จะขึ้นเมื่อโดเมนใช้งานได้และ HTTPS พร้อมแล้วเท่านั้น ระบบจึงไม่พาลูกค้าไปที่อยู่ที่ยังไม่มีแม่กุญแจ ระหว่างรอ ที่อยู่ host.brewinth.net เดิมยังใช้ได้ตามปกติ
• ถ้า DNS อยู่ที่ Cloudflare ให้ตั้งรายการ A เป็น DNS only (เมฆสีเทา)

ขั้นตอนเต็มพร้อมค่า DNS อยู่ในบทความเรื่องเชื่อมโดเมน (ลิงก์ท้ายบทความ)

4 จุดที่ทำให้แม่กุญแจหาย (และให้ AI แก้)

BrewInTH ดูแลใบรับรองให้แล้ว แต่ถ้าโค้ดของเว็บเองยังพูดถึง http:// อยู่ เบราว์เซอร์ก็ยังเตือนได้ นี่คือ 4 สาเหตุที่เจอบ่อย

1. รูป สคริปต์ หรือฟอนต์ที่ยังเป็น http:// (เรียกว่า mixed content) หน้าเว็บเป็น https แต่ดึงไฟล์บางตัวผ่าน http เบราว์เซอร์จะบล็อกไฟล์นั้น หรือเอาแม่กุญแจออก มักเกิดกับเว็บที่ย้ายมาจากโฮสต์เก่า หรือเว็บที่ AI เขียนที่อยู่รูปแบบเต็มไว้ในโค้ด
2. APP_URL หรือที่อยู่ของเว็บในค่าตั้งค่ายังเป็น http:// หรือ localhost ลิงก์ในอีเมล ลิงก์รีเซ็ตรหัสผ่าน และ redirect หลังล็อกอินจะพาไปที่อยู่ผิด ให้ตั้งเป็นที่อยู่ https ของเว็บในแท็บ ตั้งค่าแอป แล้วนำขึ้นอีกรอบ
3. วน redirect ไม่จบ แอปบางตัวมีกฎ "ถ้าไม่ใช่ https ให้ไป https" แต่ไม่ได้เชื่อส่วนหัว X-Forwarded-Proto จึงคิดว่าทุกคำขอเป็น http แล้วสั่ง redirect ซ้ำไม่จบ ทางแก้คือให้แอปเชื่อ proxy หนึ่งชั้น เช่น Express ใช้ app.set('trust proxy', 1), Django ตั้ง SECURE_PROXY_SSL_HEADER, Laravel ตั้ง trusted proxies หรือเอากฎ redirect ในโค้ดออกไปเลย เพราะระบบทำให้แล้ว
4. cookie ล็อกอินไม่ได้ตั้ง Secure ล็อกอินได้แต่หลุดบ่อย หรือแอปส่ง cookie แบบไม่ปลอดภัย เมื่อแอปเชื่อ proxy ถูกต้องแล้ว framework ส่วนใหญ่จะตั้ง Secure ให้เอง

prompt ให้ AI ตรวจทั้ง 4 จุด

เว็บนี้อยู่บน BrewInTH ที่ https://ชื่อเว็บ.host.brewinth.net
ระบบของ BrewInTH ทำ HTTPS ให้แล้ว และส่งคำขอมาที่แอปผ่าน proxy หนึ่งชั้น
พร้อม X-Forwarded-Proto: https ช่วยตรวจและแก้ให้:
1. หา http:// ทุกจุดในโค้ด HTML, CSS, JS และในข้อมูลที่เก็บในฐานข้อมูล
   เปลี่ยนเป็น https:// หรือที่อยู่แบบ relative (/images/a.png)
2. ตั้งที่อยู่ของเว็บ (เช่น APP_URL) เป็นที่อยู่ https ข้างบน
   ผ่าน secrets ของโปรเจกต์ ไม่เขียนลงโค้ด
3. ให้แอปเชื่อ proxy หนึ่งชั้น และเอากฎ redirect http → https ในโค้ดออก
   ถ้าทำให้วน redirect
4. ตั้ง cookie ของ session เป็น Secure และ HttpOnly
นำขึ้นใหม่ แล้วใช้ site_check เปิดหน้าแรกและหน้าล็อกอินเพื่อยืนยันว่าไม่มี redirect วน

ถ้าไม่มี coding agent ให้เปิดเว็บใน Chrome กด F12 แล้วดูแท็บ Console คำเตือน "Mixed Content" จะบอกชื่อไฟล์ที่ยังเป็น http คัดลอกไปให้ AI ในแชตแก้ได้เลย

คำถามที่พบบ่อย

ต้องซื้อใบรับรอง SSL เพิ่มไหม

ไม่ต้อง ทั้งที่อยู่ฟรี host.brewinth.net ที่อยู่แบบสั้นที่ซื้อเพิ่ม และโดเมนของคุณเองที่เชื่อมไว้ ได้ใบรับรองจากระบบโดยไม่มีค่าใช้จ่ายเพิ่ม

ใช้ใบรับรองของตัวเองได้ไหม

ตอนนี้ยังไม่มีที่ให้อัปโหลดใบรับรองเอง ระบบออกและต่ออายุให้ทุกโดเมนอัตโนมัติ

ทำไมโดเมนใหม่ยังขึ้น "กำลังออก TLS" อยู่

ระบบกำลังขอใบรับรองให้โดเมนนั้น ส่วนใหญ่ใช้เวลาไม่กี่นาที ถ้านานผิดปกติ ตรวจว่ารายการ A ชี้มาที่ IP ที่การ์ดโดเมนแสดง และถ้าใช้ Cloudflare ให้เป็น DNS only ระหว่างนี้ที่อยู่เดิมของเว็บยังใช้ได้

HTTPS แปลว่าเว็บปลอดภัย 100% ใช่ไหม

ไม่ใช่ HTTPS ปกป้องข้อมูลระหว่างทางและยืนยันว่าเป็นเว็บตัวจริง แต่ไม่ได้กันช่องโหว่ในโค้ดของเว็บ เช่น ฟอร์มที่ไม่ตรวจข้อมูล หรือรหัสผ่านที่เก็บแบบอ่านออก ดูเช็กลิสต์ความปลอดภัยของเว็บที่สร้างด้วย AI ประกอบด้วย

แอปของฉันต้องเปิดพอร์ต 443 เองไหม

ไม่ต้อง แอปฟังพอร์ตที่ระบบกำหนดผ่าน PORT ตามปกติ การเข้ารหัสและพอร์ต 443 เป็นงานของระบบ

สรุป

HTTPS คือสิ่งที่ทำให้ลูกค้ากล้าใช้เว็บของคุณ บน BrewInTH ใบรับรอง การพา http ไป https การบอกเบราว์เซอร์ให้ใช้ https เสมอ และการต่ออายุ เป็นงานของระบบทั้งหมด ทั้งที่อยู่ฟรีและโดเมนของคุณเอง สิ่งที่เหลือให้ดูแลคือโค้ดของเว็บเอง ซึ่งให้ AI ตรวจ 4 จุดข้างบนได้ในรอบเดียว

เริ่มโปรเจกต์แรกฟรี →

บทความที่เกี่ยวข้อง

• ใช้โดเมนของตัวเองกับเว็บบน BrewInTH: เชื่อมโดเมนที่มี หรือจดใหม่
• เว็บที่สร้างด้วย AI ปลอดภัยไหม: เช็กลิสต์ 10 ข้อก่อนเปิดให้คนใช้