HTTP 與 HTTPS 的分別

對於一般互聯網用戶而言，HTTP 和 HTTPS 的分別只是瀏覽器網址列裡一處細微的變化，但這項差異對用戶的數據安全至關重要。下文將介紹 HTTP 的定義、HTTP 與 HTTPS 的分別、兩者當前的應用場景以及未來的使用方向。

什麼是 HTTP？

所有以 HTTP 開頭的 URL 連結，都使用一種名為「超文本傳輸協議」的基礎協議。這項網絡協議標準基於傳輸控制協議（TCP）連接實現數據交換，支撐網頁瀏覽器與伺服器之間的通訊。

HTTP 屬於「無狀態系統」，這意味着它支援按需建立連接，無需維持任何形式的長連接。用戶點擊連結時，其裝置會向伺服器發送連接請求；一旦伺服器作出回應，數據就會在用戶的網頁瀏覽器上展示。連接速度由伺服器與用戶裝置之間的網絡連接質量決定。

HTTP 同時是一種「應用層協議」，其設計重點是保障連接中傳輸資訊的可讀性。這種設計提供了一種可靠的伺服器連接方式，但也給惡意攻擊者留下了攔截數據的可乘之機——攻擊者可以在數據傳輸過程中讀取、篡改數據。這類攻擊被稱為「中間人攻擊」，也因此催生了對互聯網安全通訊方式的需求，HTTPS 協議便應運而生。

HTTP 對比 HTTPS：為什麼兩者的差異很重要？

HTTPS 協議是 HTTP 的擴展版本。簡單來說，HTTPS 是具備加密能力的 HTTP。其全稱為「超文本傳輸安全協議」，核心差異在於它基於傳輸層安全（TLS）和安全套接層（SSL）證書運行，專門用於解決 HTTP 存在的中間人攻擊漏洞。使用 HTTPS 能帶來多項收益：它會對裝置與伺服器之間傳輸的所有數據進行嚴格加密，為數據傳輸增加一層安全防護。此外，SSL/TLS 機制透過 SSL 證書實現身份校驗能力，支援現代網頁瀏覽器識別正在訪問的網頁伺服器身份。

SSL 證書會向訪問者的瀏覽器證明伺服器身份，由 Sectigo 等受信任的證書頒發機構（CA）簽發。想要獲取證書，申請人至少需要證明自己擁有對應伺服器所綁定域名的控制權。證書頒發機構會基於 簽發用於保障伺服器安全的數碼證書。公鑰基礎設施（PKI）這是身份認證與加密領域的黃金標準。

上述機制能夠全面阻止黑客獲取網頁與瀏覽器之間傳輸的敏感數據。

HTTPS 的運作原理

如果未使用 HTTPS，你在網站中輸入的所有數據（例如用戶名稱/密碼、信用卡或銀行帳戶資料、其他表單提交數據等）都會以未加密的明文形式傳輸，因此很容易被攔截或竊聽。出於這個原因，在輸入任何資料前，你都應當確認網站已啟用 HTTPS，尤其是訪問電商網站或輸入任何金融類資料時更需注意。

對一般用戶來說，實際使用中從 HTTP 升級到 HTTPS 的連接體驗不會有太大差異。唯一直觀的分別是瀏覽器網址列會顯示一個掛鎖圖示，代表目前是安全的 HTTPS 連接。

使用 HTTPS 就代表網站是安全的嗎？

HTTPS 表示伺服器身份已經過認證，而且連線是安全的，所有傳輸的資訊都會經過加密。對於重視網絡安全的網站或機構而言，HTTPS 是必備配置，但它只是保障網站安全的整體框架中的一部分。HTTPS 並非能夠阻擋所有惡意程式碼傳輸的防火牆，它的作用是在經過身份認證的服務端與用戶之間建立加密連線。開發者還需要採取更多其他措施來保障用戶的安全。

兩者哪個速度更快？

在多数場景下，HTTP 的速度始終快於 HTTPS。為傳輸流程增加額外安全性的權衡之一，就是端到端耗時更長。HTTP 無需 SSL 證書，也就省去了用於確保連線安全的額外驗證步驟。這類請求不需要身份校驗、認證或加密，基於其無狀態的系統設計，請求被接收後數據就會直接發送出去。

相比之下，HTTPS 連線在傳輸任何數據前，需要先完成 SSL 握手。不過這一握手步驟給通訊流程增加的耗時非常少。儘管這一延遲微不足道，用戶通常察覺不到，但它可能受到瀏覽器快取等多種因素的影響。

HTTPS 的應用現狀

如今 HTTPS 已在網絡安全領域普及。無論網站要求的安全級別高低，多數開發者都會為所有網站部署 HTTPS。這一趨勢不僅是行業最佳實踐的推動，也受全球諸多主流瀏覽器和作業系統的強制要求。部署 HTTPS 是平台保護用戶數據的簡便方式，無需用戶自行做額外操作。很多開發者也樂於部署 HTTPS，因為他們清楚安全性更低的 HTTP 版本存在相關安全風險。

Google、SEO 與 HTTPS

Google 是全面轉向 HTTPS 最積極的倡導者之一。該公司認為，所有用戶訪問任意網站時，都理應獲得一定級別的安全保障。

2014 年，Google 首次宣佈HTTPS 作為排名影響因素HTTPS 是自然搜尋結果的影響因素——將其納入了 SEO（搜尋引擎最佳化）考量指標。相比未切換到 HTTPS 的機構，已完成切換的機構始終能獲得更高的 SEO 排名，從該搜尋引擎取得的總頁面瀏覽量也更高。

2018 年 7 月，Google Chrome 調整了其介面（UI）為進一步推動開發者切換到 HTTPS，它開始將所有 HTTP 站點標記為「不安全」。醒目的紅色標識會讓用戶認為該站點瀏覽存在安全風險。此外，瀏覽器預設會在地址欄自動填寫 https://，盡可能強制網站提供更安全的版本。

很快它還將推出名為「HTTPS 優先」選項的功能，強制網站展示 HTTPS 版本，若無法提供 HTTPS 連線，則顯示整頁警告。目前該功能是面向安全敏感度最高的用戶推出的設定選項，但 Google 最終考慮將其設為預設選項。

HTTPS 的未來發展

HTTPS 網站已是當前主流。任何處理敏感資訊的網站很可能多年前就已從明文 HTTP 完成切換，其餘網站也在逐步完成遷移。最終，來自瀏覽器的壓力會迫使所有網站切換到 HTTPS，瀏覽器甚至會極力抵制展示非 HTTPS 站點。但不要認為 HTTPS 會是在線數據傳輸協議的最終方案。如今 HTTPS 表現優於 HTTP，但未來它可能被其他協議增強或替代。網絡安全始終在演進發展，隨著新的數據安全問題出現或現有局限被發現，相關技術會不斷進步。

相關文章：