HTTPS 超文本传输安全协议

HTTPS 超文本传输安全协议是一种通过 TLS 加密和认证机制保护 HTTP 通信的网络协议。

概述

HTTPS 并不是完全独立于 HTTP 的协议，而是让 HTTP 数据通过 TLS 建立的安全通道传输。用户访问 HTTPS 网站时，浏览器通常会先与服务器协商加密方式，并检查服务器提供的数字证书，再建立用于本次连接的会话密钥。

连接建立后，请求内容、响应内容、Cookie 等数据会被加密传输，可降低信息在途中被窃听或篡改的风险。现代浏览器通常以锁形图标等方式表示连接已加密，但这不代表网站内容或经营者一定可信。

主要特点

• 传输加密：将通信内容转换为密文，减少密码、个人资料和业务数据泄露的风险。
• 身份认证：通过数字证书验证服务器所控制的域名，降低用户连接到冒充网站的可能性。
• 完整性保护：检测传输数据是否被未经授权地修改，防范部分中间人攻击和内容注入。
• 广泛兼容：适用于网页、接口、移动应用和其他基于 HTTP 的服务，默认端口通常为 443。

证书与部署

部署 HTTPS 通常需要为域名申请受信任的 TLS 证书，并在 Web 服务器、反向代理或云服务中配置证书和私钥。证书具有有效期，需要及时续期；同时应启用合适的 TLS 版本、密码套件和 HTTP 到 HTTPS 跳转。

HTTPS 主要保护传输过程，访问目标的 IP 地址、连接时间和流量特征等元数据仍可能被观察。服务器自身漏洞、恶意网页和终端设备中毒也不能仅靠 HTTPS 解决。

常见问题

问：HTTPS 是否绝对安全？答：不是。它能保护传输链路，但不能保证网站内容无害，也不能替代账号保护、漏洞修复和终端安全措施。

问：HTTPS 会明显降低网站速度吗？答：加密会带来一定计算和握手开销，但现代硬件、连接复用和会话恢复技术通常可将影响控制在较低水平。

问：自签名证书可以使用吗？答：可以用于测试或受控内部环境，但默认不被公共浏览器信任，公开网站通常应使用受信任机构签发的证书。