Automatyczna weryfikacja właściciela/strony w praktyce oznacza, że klient (np. przeglądarka) potrafi uwierzytelnić serwer, z którym zestawia połączenie HTTPS. Dzieje się to w warstwie TLS: serwer przedstawia certyfikat (potocznie nazywany "SSL", choć współcześnie chodzi o TLS), zawierający m.in. nazwę domeny oraz podpis wystawcy (urzędu certyfikacji).
Przeglądarka wykonuje dwie kluczowe kontrole:
- Walidacja zaufania: czy certyfikat jest ważny i czy można zbudować łańcuch do zaufanego urzędu certyfikacji (CA).
- Dopasowanie nazwy: czy domena odwiedzana przez użytkownika pasuje do pól certyfikatu (np. CN/SAN).
Dlatego odpowiedź "certyfikatowi SSL" jest poprawna w sensie egzaminacyjnym: to właśnie certyfikat umożliwia przeglądarce automatycznie sprawdzić, że serwer jest tym, za kogo się podaje (dla danej domeny) i że klucz użyty do zestawienia szyfrowania jest powiązany z tym serwerem.
Pozostałe odpowiedzi nie spełniają warunku "automatycznej weryfikacji":
- "kluczom prywatnym" – klucz prywatny jest tajny i służy do kryptograficznego udowodnienia posiadania klucza podczas handshake’u, ale sam w sobie nie jest dla klienta "metryką tożsamości". To certyfikat (podpisany przez CA) wiąże klucz publiczny z domeną/tożsamością.
- "danym kontaktowym na stronie" – są elementem treści WWW i mogą być łatwo sfałszowane; przeglądarka nie ma standardowego mechanizmu automatycznego potwierdzania ich prawdziwości.
- "danym whois" – WHOIS dotyczy rejestracji domeny, bywa niepełny/ukryty i nie jest integralną częścią mechanizmu HTTPS/TLS. Przeglądarka nie używa WHOIS do oceny, czy połączenie jest bezpieczne.
Wskazówka egzaminacyjna: jeśli w pytaniu pojawia się HTTPS i "weryfikacja" po stronie klienta, najczęściej chodzi o certyfikat serwera i PKI, a nie o informacje publikowane na stronie lub w rejestrach.
