HTTPS (Hypertext Transfer Protocol Secure) ist die Verschlüsselung des HTTP-Protokolls über TLS. Aus Sicht der Anwendung verhält sich HTTPS wie HTTP, aber sämtliche Header und Bodies werden zwischen Client und Server verschlüsselt, integritätsgesichert und über X.509-Zertifikate authentifiziert übertragen.
In der Praxis lauschen HTTPS-Server typischerweise auf Port 443. Ein Webserver präsentiert beim TLS-Handshake sein Zertifikat, der Browser prüft Kette, Gültigkeit, SAN-Match, Revocation-Status und Certificate Transparency. Erst danach werden die HTTP-Daten ausgetauscht. Moderne Versionen wie HTTP/2 und HTTP/3 (QUIC) sind in der Praxis nahezu ausschließlich über TLS spezifiziert.
Einsatzzweck ist die Absicherung von Webanwendungen gegen Lauschangriffe, Manipulation und Identitätstäuschung. Ohne HTTPS würden Anmeldedaten, Zahlungsinformationen und Sessioncookies offen über das Netz reisen. HTTPS ist außerdem Voraussetzung für viele moderne Browser-APIs (z. B. Service Worker, Geolocation, Web Push).
HTTPS wurde 1994 von Netscape eingeführt und basierte zunächst auf SSL. Mit der Standardisierung als TLS und der Definition in RFC 2818 (2000) wurde es zum Standardprotokoll für sicheres Web. Initiativen wie HTTPS Everywhere (EFF), Let's Encrypt sowie die schrittweise Markierung von HTTP-Seiten als "unsicher" durch Browser haben die heutige fast vollständige HTTPS-Verbreitung getrieben.
Google nutzt HTTPS seit 2014 als (geringes) Ranking-Signal in der Websuche, was viele Betreiber zur Umstellung motivierte. Die Geschichte des Protokolls ist eng mit den Sicherheitsvorfällen seiner Bausteine verbunden – Heartbleed, BEAST, POODLE und FREAK haben jeweils maßgebliche Anpassungen in Servern, Bibliotheken und Standards angestoßen.