HTTPS 是什么？为什么网站从 HTTP 换成 HTTPS 后更可信

HTTPS 是什么？为什么网站从 HTTP 换成 HTTPS 后更可信

你可能见过两种网址：一种以 http:// 开头，另一种以 https:// 开头。看起来只多了一个 s，实际差别不小。HTTP 像把信息写在明信片上寄出去，沿途的网络节点理论上能看到内容；HTTPS 则像把信息装进上锁的信封，浏览器和网站用加密方式交流。

那个 s 可以理解为 secure，也就是更安全的传输方式。它不是只给电商、登录页或银行类网站准备的。只要网站有访客、有表单、有后台登录，甚至只是想让浏览器不要出现醒目的风险提示，HTTPS 都值得认真配置。

HTTP 和 HTTPS 到底差在哪

HTTP 本身负责让浏览器“请求一个页面”，服务器“返回页面”。HTTPS 在它外面加了一层 TLS 加密。浏览器先拿到网站的证书，核对身份，再协商出一把临时的加密钥匙，之后网页、图片、Cookie 和表单数据都通过加密连接传输。

这并不意味着谁都无法攻击网站，而是让网络传输过程更不容易被偷看或篡改。例如你在咖啡店的公共网络里登录后台，如果站点仍使用 HTTP，账号信息存在暴露风险；使用正确配置的 HTTPS，传输会受到加密保护。

为什么浏览器越来越在意 HTTPS

浏览器不喜欢用户在不知情的情况下输入信息。没有 HTTPS 的页面可能出现“不安全”提示，一些浏览器功能也会受到限制。对于访客来说，看到清晰的 HTTPS 连接至少说明网站愿意完成最基本的传输保护。

搜索、分享和跳转也是实际因素。规范地把 HTTP 跳转到 HTTPS，有助于访客始终落到同一种地址上，避免同一页面出现两套入口。设置跳转时要记得先确认 HTTPS 已经能正常打开，否则访客会被很热情地带到一扇锁着的门前。

启用 HTTPS 需要走哪些步骤

可以用一句话概括：准备域名，证明域名控制权，申请证书，部署证书，验证公网访问。

其中最容易让人困惑的是“证明控制权”。证书签发机构不会因为你说“这是我的域名”就相信你，它会要求完成一次验证。DNS-01 验证就是常见方案之一，通过 DNS 记录证明你可以管理该域名。

证书签发成功还不是终点。它必须部署到真正处理访客请求的地方。如果你的站点前面用了 CDN 或 EdgeOne，通常要在接入层部署；如果访客直接访问 Nginx，则要部署在服务器上。部署以后，再从外网打开 https://你的域名，确认没有证书错误和资源混合加载。

自动化会帮你少记一件事

证书会到期，所以 HTTPS 不是一次性作业。比较稳妥的做法是，在临近到期时重新申请证书，再自动部署到原来的目标。CertbotX 把域名委托、ACME 签发和部署记录放进同一条流程，减少手工复制证书文件的次数。

如果你只是在维护个人站点或几个小项目，CertbotX 免费版可自动托管 5 个域名，足够用来把 HTTPS 流程跑顺。别急着记住所有缩写，先让一个域名稳定地从 HTTP 变成 HTTPS，就已经掌握了最重要的部分。

关于浏览器强制使用 HTTPS 的进一步做法，可以参考 MDN 对 HSTS 的说明。它适合在 HTTPS 已稳定可用后再考虑。