Os terceiros podem ler o URL completo ao navegar via HTTPS?

Quando você visita um site com segurança por meio de https: // os dados enviados entre o servidor e o navegador são criptografados, mas e os URLs que você visita no site? O seu ISP ou outro observador de terceiros pode ver o que você está vendo??

A sessão de perguntas e respostas de hoje nos é oferecida por cortesia do SuperUser - uma subdivisão do Stack Exchange, um agrupamento de sites de perguntas e respostas conduzido pela comunidade..

A questão

Um leitor super usuário anônimo quer saber se suas sessões de navegação são completamente seguras:

Todos sabemos que o HTTPS criptografa a conexão entre o computador e o servidor para que ele não possa ser visto por terceiros. No entanto, o ISP ou um terceiro pode ver o link exato da página acessada pelo usuário?

Por exemplo, eu visito:

https://www.website.com/data/abc.html

O ISP saberá que eu acessei o / data / abc.html ou apenas saiba que visitei o IP do www.website.com?

Se eles sabem, por que a Wikipedia e o Google têm HTTPS quando alguém pode apenas ler os registros da Internet e descobrir o conteúdo exato que o usuário visualizou??

Uma questão interessante que certamente tem implicações para a privacidade pessoal. Vamos investigar.

A resposta

Colaborador do SuperUser O Grawity oferece uma visão geral muito concisa de como o URL completo é processado ao longo do caminho:

Da esquerda para a direita:

o esquema https: é, obviamente, interpretado pelo navegador.

o nome do domínio www.website.com é resolvido para um endereço IP usando o DNS. Seu ISP verá a solicitação de DNS para este domínio e a resposta.

o caminho /data/abc.html é enviado na solicitação HTTP. Se você usa HTTPS, será criptografado junto com o restante da solicitação e resposta HTTP.

o string de consulta ?isso = isso, se presente na URL, é enviado na solicitação HTTP - junto com o caminho. Então também é criptografado.

o fragmento #lá, se presente, não é enviado em qualquer lugar - é interpretado pelo navegador (às vezes por JavaScript na página retornada).

Em suma, tudo à direita do nome de domínio é criptografado pela sessão HTTPS e permanece invisível para o seu provedor de serviços de Internet ou qualquer outra pessoa que esteja espiando em suas atividades..

Tem algo a acrescentar à explicação? Soe fora nos comentários. Quer ler mais respostas de outros usuários do Stack Exchange com experiência em tecnologia? Confira o tópico de discussão completo aqui.