HTTPS 的前世今生：一场关于“信任”的技术革命

“在信息高速公路上奔跑，如果没有 HTTPS，就像裸奔。”
——一位秃头工程师如是说。

1. HTTP：曾经无忧，如今危险重重

还记得上世纪 90 年代的互联网吗？那时的网站都是 HTTP 开头，信息在网络中自由穿梭，彼此信任，没有加密，没有认证。你点开一个登录页面，输入密码，轻轻一点登录——这串信息在你和服务器之间赤裸裸地传输，没有任何加密。

这种“裸奔”模式很快成了黑客的乐园：

• ✅ 网络监听者可拦截通信（MITM攻击）
• ✅ 攻击者伪造网页钓鱼
• ✅ 数据随意篡改，用户毫不知情

于是，HTTPS 应运而生，它是互联网安全世界里的一位“披甲骑士”。

2. HTTPS 到底是什么？

简单说，HTTPS = HTTP + TLS（以前叫 SSL）。

TLS（Transport Layer Security）是一种加密协议，它通过非对称加密、对称加密、消息认证等手段，保护 HTTP 数据在传输过程中的机密性、完整性与身份真实性。

它的使命很明确：

“你看到的网页，是我本人发的；中间没有人动过；就算被人偷走，也看不懂。”

3. 一图胜千言：HTTP vs HTTPS

下图清晰地展示了 HTTP 和 HTTPS 的差别：

4. HTTPS 的技术栈揭秘（简单但不简陋）

🔑 步骤一：TLS 握手阶段（建立信任）

1. 客户端发起请求，告诉服务器它支持的加密方式。
2. 服务器发送证书，包含网站公钥、域名、颁发机构等。
3. 客户端验证证书合法性。
4. 生成随机密钥，用服务器公钥加密，发送给服务器。
5. 服务器用私钥解密，共享会话密钥建立成功。

🎩 这就像把保险箱锁住寄给别人，别人用钥匙打开，从此你们之间就用保险箱交流。

🔒 步骤二：数据加密阶段（开启“秘密通道”）

• 所有通信使用协商好的会话密钥，采用对称加密传输，快速且安全。
• 数据附带MAC 签名，防止篡改。

5. HTTPS 的好处，绝不是“好看一点的小锁头”🔒

你看到的🔒不仅仅是样子货：

6. HTTPS 证书从哪里来？真的要花钱？

• ✅ 免费：Let’s Encrypt（全球最流行）
• 💰 收费：DigiCert、Sectigo 等
• 📦 申请方式：使用 Certbot、ACME 脚本自动申请和续期

7. 有趣的冷知识：HTTPS 也不是万能的

• 它不能防止你把密码贴在显示器上
• 它不能阻止服务器被黑
• 它不能隐藏访问的网站地址（SNI 除外）

8. 总结：HTTPS 是互联网的护城河

没有 HTTPS 的网站已经越来越少，Chrome 和 Firefox 都明确标注 HTTP 网站为“不安全”。

它不只是加了个 “S”，而是整个现代互联网信任体系的基石。

“如果说互联网是一座城池，那 HTTPS 就是包围它的护城河，证书就是通行的门票。”