¿Pueden los terceros leer la URL completa al navegar por HTTPS?

Cuando visita de forma segura un sitio web a través de https: // los datos enviados entre el servidor y su navegador están encriptados, pero ¿qué pasa con las URL que visita dentro del sitio? ¿Puede su ISP u otro observador externo ver lo que está viendo??

La sesión de Preguntas y Respuestas de hoy nos llega por cortesía de SuperUser, una subdivisión de Stack Exchange, un grupo de sitios web de preguntas y respuestas impulsado por la comunidad..

La pregunta

Un lector anónimo de SuperUser desea saber si sus sesiones de navegación son completamente seguras:

Todos sabemos que HTTPS cifra la conexión entre la computadora y el servidor para que no pueda ser vista por un tercero. Sin embargo, ¿puede el ISP o un tercero ver el enlace exacto de la página a la que accedió el usuario??

Por ejemplo, yo visito:

https://www.website.com/data/abc.html

¿Sabrá el ISP que accedí a * / data / abc.html o simplemente sabré que visité la IP de www.website.com??

Si lo saben, ¿por qué Wikipedia y Google tienen HTTPS cuando alguien puede leer los registros de Internet y averiguar el contenido exacto que vio el usuario??

Una pregunta interesante que ciertamente tiene implicaciones para la privacidad personal. Vamos a investigar.

La respuesta

El colaborador de SuperUser Grawity ofrece una visión general muy concisa de cómo se procesa la URL completa en el camino:

De izquierda a derecha:

los esquema https: Es, obviamente, interpretado por el navegador..

los nombre de dominio www.website.com Se resuelve a una dirección IP usando DNS. Su ISP veremos la solicitud de DNS para este dominio, y la respuesta.

los camino /data/abc.html Se envía en la solicitud HTTP. Si utiliza HTTPS, será encriptado Junto con el resto de la solicitud y respuesta HTTP..

los cadena de consulta ?esto = eso, Si está presente en la URL, se envía en la solicitud HTTP, junto con la ruta. Así que también está encriptado..

los fragmento #ahí, si está presente, no se envía a ningún lado, se interpreta por el navegador (a veces por JavaScript en la página devuelta).

En resumen, todo lo que se encuentra a la derecha del nombre de dominio está encriptado por la sesión HTTPS y permanece invisible para su ISP o cualquier otra persona que vea sus actividades..

¿Tienes algo que agregar a la explicación? Apague el sonido en los comentarios. ¿Quieres leer más respuestas de otros usuarios de Stack Exchange con experiencia en tecnología? Echa un vistazo a la discusión completa aquí.