Petitverse

「サーバーに認可」という話は意味不明なのですが

「httpはよくない、httpsを使おう」という話であれば、それは「常時SSL化」といわれる最近のウェブの風潮です

（法律などの決まりではありませんが、httpsが使えないサイトは検索エンジンで上位に掲載されにくいなどの影響があります。）

いずれにせよ、用語があやふやな時点で、その友達の話はあまり真剣に受ける必要はないでしょう。

公的機関が運営するサイトにあっては、近いうちに常時SSLが義務化される可能性もあります。（例:アメリカの政府機関のサイト）
が、私人が運営するサイトにそのような強い規制を設けることは現実的ではありませんし、そうはならないと思います。
あくまでも奨励されるという域にとどまるでしょう。

僕が指摘したのもよくよく考えれば間違っていたかも知れなくもなくもないと思いますが。
友達の話はおかしいと思います...僕から指導してやりたいところ()
ちなみにここはプチバースなのでプチコンとは若干それた内容を投稿するのはよくない気が...別に気にしなくていいですけどね。僕も人のことは言えませんし()

自分もHTTPSについてはそこまで詳しくないので間違っているかもしれませんが、
"サーバーに認可されていない"というのは意味が通じません。
ドメインに対して証明書が認証局から発行されるので、
どちらかといえば逆じゃないかと思います。
例えば自分は自分自身でウェブサーバを運用していて、
できればHTTPS化したいのですがDDNSの関係で証明書が取れないらしく、
認証局から発行される証明書を持っていないのでHTTPしか使えません。
このサイトは独自ドメインなので取得できそうな気もしますけど何故かHTTPですね。
HTTPだと通信が暗号化されないので、
傍受される可能性があるという意味では確かに危険かと思います。
ただここで傍受されて困るのは"秘密の合言葉"くらいだとは思いますが。

ちなみに、http（非SSL）のリスクは、覗き見られる（傍受）というよりも書き換えられる可能性があるという点ですね。
覗き見られて困る物はほぼないのですが、書き換えの場合はいくらでも悪い例は思いつきます。

なるほど。確かに書き換えの危険性もありますね。
プログラムのデバッグとかで通信傍受する際に、
HTTPSのせいで傍受に苦戦した記憶があったので、
傍受のことしか考えていませんでした。
HTMLのscript要素のintegrity属性は、
そういった改竄の対策にもなるということですね。
常時SSL化が推し進められる理由も分かりました。