Ondersteuning HTTPS aan browserzijde vrijwel compleet

Een half procentpunt per jaar

Hieronder kun je zien dat het percentage van het verkeer op de webdiensten van Google dat versleuteld is inmiddels op 96 procent zit. Voor Nederland komt die meting uit op 95 procent.

De groei is er echter allang uit: de afgelopen 6 jaar kroop het gebruik van HTTPS omhoog met ongeveer een half procentpunt per jaar. Tegelijkertijd is het ook logisch dat de adoptie van deze beveiligingsstandaard asymptotisch is: naar verwachting zullen de laatste oude en problematische web-clients de komende jaren vanzelf van het internet verdwijnen.

Hoewel deze hoge scores suggereren dat HTTPS inmiddels de de facto standaard is op het web, valt daar wel wat op af te dingen. De statistieken van Google zijn (alleen) afkomstig van Chrome-gebruikers die de telemetrie-optie aan hebben staan, wat een nogal beperkt beeld geeft van het webverkeer.

Figuur 1: Percentage HTTPS-versleuteld verkeer op de diensten van Google. [bron: Google]

Figuur 2: Percentage HTTPS-versleuteld verkeer op de diensten van Google afkomstig uit Nederland. [bron: Google]

Firefox

De statistieken afkomstig van Firefox-gebruikers zijn veel minder eenzijdig dan die van Google, doordat deze het hele spectrum van alle (bezochte) websites op internet bestrijken. Deze metingen geven een adoptiegraad van maar 80 procent op de geladen webpagina’s (wat bovendien weer iets anders is dan het verkeer), maar laten wel dezelfde afvlakking zien.

Figuur 3: Percentage HTTPS-versleutelde webpagina’s door Firefox-gebruikers. [bron: Let's Encrypt/Firefox Telemetry]

W3Techs

W3Techs maakt voor het verzamelen van zijn data gebruik van een web-crawler en heeft dus net als Firefox een veel bredere blik dan Google en Cloudflare. Zij komen op een adoptiegraad van 86 procent voor de beschikbaarheid van TLS op de door hun onderzochte websites.

Figuur 4: Percentage websites dat HTTPS heeft ingesteld als default protocol. [bron: W3Techs]

Waar Google de hoeveelheid verkeer die binnenkomt op hun webdiensten meet en Firefox het aandeel versleutelde webpagina’s dat geladen wordt, levert W3Techs weer een net iets andere statistiek: zij geven het percentage van de websites die HTTPS hebben ingesteld als hun default protocol. Dat maakt al deze metingen lastig vergelijkbaar.

Top-100 van websites

Google geeft ook de overall HTTPS-adoptiegraad van de top-100 van websites. Die score is maar liefst 97 procent. Tel je ook de sites mee die niet per default naar de HTTPS-ingang refereren, dan kom je zelfs op 100 procent uit. Volgens een schatting van Google zijn deze sites verantwoordelijk voor ongeveer 25 procent van het wereldwijde webverkeer.

Figuur 5: Percentage HTTPS-beveiligde ingangen voor de top-100 van websites. [bron: Google]

Cloudflare

Cloudflare, die reverse proxy/cache-diensten (CDN) verzorgd voor drukbezochte websites, geeft een vergelijkbare score: 98 procent van de bij hun binnenkomende verbindingen doet dat over HTTPS (TCP-poort 443). Ook hier betreft het natuurlijk cijfers van veelbezochte sites.

Figuur 6: Percentage binnenkomende verbindingen over HTTPS. [bron: Cloudflare]

Oudere versie van HTTP en TLS

De metingen van Cloudflare laten ook zien dat nog maar 10 procent van die beveiligde verbindingen gebruikmaakt van HTTP versie 1 en nog maar 6 procent van TLS versie 1.2. HTTP/3, dat gebouwd is op het veel efficiëntere QUIC-protocol (en TLS 1.3 als onderdeel daarvan), wordt inmiddels gebruikt door bijna 30 procent van de verbindingen.

Figuur 7: Aandeel van de verschillende versies van HTTPS. [bron: Cloudflare]

Figuur 8: Aandeel van de verschillende versies van TLS. [bron: Cloudflare]

W3Techs komt voor de serverzijde op diezelfde 30 procent uit, wat impliceert dat ook de ondersteuning van HTTP/3 aan browserzijde compleet is.

Figuur 9: Percentage websites dat HTTP/3 gebruikt. [bron: W3Techs]

Badkuipcurve?

Dit alles laat zien dat er aan browserzijde geen probleem is voor wat betreft de ondersteuning van HTTPS. Hetzelfde geldt voor drukbezochte websites: nagenoeg alle sites bieden een goedwerkende TLS-ingang. Met name de minder grote websites lijken HTTPS ook minder aan te bieden. Hoewel we dat niet direct met statistieken kunnen onderbouwen, verwachten we net als eerder gezien bij de adoptie van andere moderne internetstandaarden een "badkuipcurve": De grootste sites presteren het best omdat internet hun kerntaak is (zoals de metingen van Google en Cloudflare laten zien). Kleine sites doen het goed omdat die veelal door een van de grote bulkaanbieders gehost worden (die veiligheid als onderdeel van hun platform adverteren). En de sites ertussenin doen het het slechtst omdat die zelf gehost en/of ontwikkeld worden en niet altijd de aandacht krijgen die ze verdienen.

Uit de metingen van W3Techs blijkt ook dat de HTTPS-adoptiegraad afneemt als je achtereenvolgens naar de top-1.000, top-10.000, top-100.000 en top-1.000.000 websites kijkt.

Figuur 10: Percentage HTTPS als default ingang voor de top websites. [bron: W3Techs]

Verlaten en nauwelijks bezocht

Onze eigen statistieken, die alle domeinnamen in de .nl-zone bestrijken, laten zien dat 48 procent van de websites van een geldig TLS-certificaat is voorzien. Hoewel dat veel lager is dan de 80-85 procent scores van Firefox en W3Techs, kunnen we dat wel verklaren: Zo’n 30 procent van alle namen onder het .nl-domein is geparkeerd en een groot deel daarvan zal geen HTTPS-ingang hebben. Bovendien bevat de hele zone natuurlijk ook een aanzienlijk aantal domeinnamen waarvan de website verlaten is (abandoned) en/of nauwelijks bezocht wordt.

Hoewel Let’s Encrypt de adoptie van HTTPS een enorme boost heeft gegeven, worden self-signed certificaten en certificaten met een jarenlange geldigheidsduur inmiddels niet meer ondersteund. Dat maakt ook dat websites die geen aandacht meer krijgen al snel onveilig worden.

Figuur 11: Percentage websites onder het .nl-domein voorzien van een geldig TLS-certificaat. [bron: SIDN]

Verplicht voor overheidsorganisaties

Na het stoppen van hun 'HTTPS Everywhere'-browserextensie begin vorig jaar, concludeert de EFF dat HTTPS inmiddels inderdaad door alle moderne webbrowsers standaard ondersteund wordt. Dat HTTPS niet op alle servers beschikbaar is, komt volgens hen door verouderde en verlaten servers, door servers die omwille van de performance of hun beperkte content/functionaliteit niet versleutelen, door mobiele apparaten die toch niet altijd HTTPS ondersteunen, en doordat beheerders om hun eigen privacy en veiligheid te beschermen geen certificaat willen aanvragen.

Een stagnerende adoptie was vorige zomer aanleiding om het gebruik van HTTPS (en HSTS) door Nederlandse overheidsorganisaties te verplichten. Deze standaarden staan al sinds mei 2017 op de 'pas toe of leg uit'-lijst (ptolu) van Forum Standaardisatie, en TLS nog veel langer. In 2018 zijn binnen het Overheidsbreed Beleidsoverleg Digitale Overheid (OBDO) aanvullende Streefbeeldafspraken voor HTTPS en HSTS gemaakt, wat betekent dat deze 2 standaarden eind 2018 op alle overheidssites toegepast hadden moeten worden.

De 'Wet digitale overheid' (Wdo) maakt het mogelijk om de toepassing van moderne internetstandaarden bij (semi-)overheidsinstanties verplicht te stellen. Voor HTTPS en HSTS is dat vorige zomer dus gedaan via het 'Besluit beveiligde verbinding met overheidswebsites en -webapplicaties'. De verwachting is dat een dergelijke harde verplichting ook voor DNSSEC zal volgen. Volgens de geldende Streefbeeldafspraken had deze standaard immers eind 2017 (!) al op alle overheidsdomeinen geïmplementeerd moeten zijn.