你有没有注意到，有些网站的网址开头是http://，有些则是https://？
虽然看起来只差了一个「s」，但它们的安全性和运作方式却完全不同。
什么是 HTTP？
http 的定义
HTTP（HyperText Transfer Protocol，超文本传输协议）是一种用于在网络上传输超文本的协议，它规定了浏览器与服务器之间的通信规则。
当你输入一个网址并按下「Enter」，浏览器就会通过 HTTP 向服务器请求网页内容，服务器再将信息返回，显示在你的屏幕上。
HTTP 的工作方式
HTTP 的运作属于「请求 – 回应」模式（Request-Response Model）：
用户端（Client）：你的浏览器向服务器发送请求（例如访问 www.example.com）。
服务器端（Server）：服务器接收请求，回应对应的网页内容（HTML、CSS、JavaScript 等）。
资料传输：数据会以纯文字形式在浏览器和服务器之间传递。
http 的缺点
HTTP 虽然简单高效，但它有一个很大的问题：不安全。
http 传输的所有资料都是「明文」，代表如果有人在传输过程中拦截数据，就能直接读取其中的内容，包括账号、密码、信用卡信息等。
因此，HTTP 不适合用于传输敏感信息。
什么是 HTTPS？
httpS 的定义
HTTPS（HyperText Transfer Protocol Secure，安全超文本传输协议）是在 HTTP 的基础上加了SSL/TLS 加密技术，用来确保数据传输的安全性。
当你访问一个 HTTPS 网站时，所有的请求与回应都经过加密，只有发送方和接收方才能解读。
HTTPS 的工作方式
HTTPS 的工作原理与 HTTP 类似，但它多了一层安全机制：
SSL/TLS 加密：在浏览器与服务器之间建立加密通道，确保数据无法被窃取或篡改。
数字证书验证：通过 SSL/TLS 证书来验证网站身份，防止用户访问假冒的恶意网站。
完整性检查：确保数据在传输过程中没有被修改。
httpS 的优势
资料加密：防止数据被第三方窃取，提高安全性。
身份验证：确保你连接的是合法网站，而不是恶意网站。
提升 SEO 排名：百度、谷歌等搜索引擎会优先推荐 HTTPS 网站，提高搜索引擎排名。
增强用户信任：大多数浏览器会标记「不安全」的 HTTP 网站，HTTPS 能增加用户信心。
http 与 HTTPS 的比较
| 比较项目 | HTTP | HTTPS |
|---|---|---|
| 安全性 | 资料为明文传输，容易被拦截 | 资料经 SSL/TLS 加密，安全性高 |
| 资料完整性 | 资料容易被篡改 | 资料经过验证，防止篡改 |
| 身份验证 | 无法保证访问的是正确网站 | 使用 SSL 证书验证网站身份 |
| 浏览器显示 | 部分浏览器会标示“不安全” | 显示锁头图标，用户更放心 |
| SEO 影响 | 无特别影响 | 搜索引擎会优先排名 HTTPS 网站 |
HTTPS 背后的加密技术：SSL/TLS
看完上面的比较，你可能会好奇：HTTPS 是怎么做到加密的？
答案就是SSL/TLS。
简单来说，SSL（Secure Sockets Layer）是早期的加密协议，后来因为安全漏洞被淘汰，升级成了TLS（Transport Layer Security）。
现在所有 HTTPS 网站实际上用的都是 TLS，但大家还是习惯说「SSL」。
SSL/TLS 通过一套叫做「握手（Handshake）」的流程，让浏览器和服务器在正式传输数据之前，先安全地协商并交换加密密钥。
握手完成后，双方就能用这把钥匙进行加密通信，中间人就算拦截到资料也看不懂。
SSL 凭证是什么？
SSL 凭证是由认证机构（CA， Certificate Authority）签发的数字证书，主要用来：
验证网站的身份：确认这个网站是真的，而不是假冒的。
提供加密密钥：让浏览器与服务器建立安全连接。
SSL 证书的种类
DV 凭证（Domain Validation）
只验证网站的域名，最便宜，适合个人或小型网站。
OV 凭证（Organization Validation）
验证网站所有者的企业信息，适合企业网站。
EV 凭证（Extended Validation）
验证企业的完整身份，浏览器会显示绿色锁头，适合银行和金融机构。
如何取得 SSL 证书？
你可以向 CA 机构申请 SSL 证书：
免费凭证
Let’s Encrypt（适合小型网站）。
付费凭证
DigiCert、GlobalSign、Comodo（适合企业网站）。
如何将网站从 HTTP 升级到 HTTPS？
如果你是网站管理员，应该尽快将 HTTP 升级为 HTTPS。
以下是升级步骤：
1.取得 SSL/TLS 证书
向认证机构（CA）申请 SSL 凭证，例如 Let’s Encrypt（免费）、DigiCert、GlobalSign 等。
2.安装 SSL 证书
取得凭证后，将它安装到你的网页服务器，例如 Apache、Nginx 或 IIS。
3.更新网站设定
修改网站 URL
将所有 HTTP 链接改为 HTTPS。
设定301重定向
确保所有 HTTP 请求自动转向 HTTPS。
更新 CDN 及 API
确保所有外部链接支持 HTTPS。
4.测试网站是否正常运行
使用 SSL 检查工具（如 SSL Labs）测试网站是否正确运行，并确保所有内容都是 HTTPS。
小结
无论是个人博客还是企业网站，HTTPS 都能提供更高的安全性、信任度及 SEO 优势。
各大浏览器已经强制要求 HTTPS，没有 SSL/TLS 的 HTTP 网站会被标记为「不安全」。
原创文章，作者：余初云，如若转载，请注明出处：https://blog.jidcy.com/jsjc/2658.html