什么是 HTTPS：网页通信为什么要加密

我们在浏览器里打开一个网站，地址栏里大多有一把小锁，网址以 https 开头。这个多出来的 s，代表 HTTP Secure，也就是给原本的 HTTP 通信加了一层加密。

HTTP 是浏览器和服务器之间说话的协议。早期的 HTTP 是明文传输：你在网页上输入的账号、密码、银行卡号，会原样经过中间的每一个网络节点。任何一个节点上的人，都能把这些内容看得一清二楚，也能在半路把内容改掉，比如把收款账号换成自己的。这就像寄一张明信片，邮递员和分拣员都能看、能改。

HTTPS 解决的就是这个问题。它在 HTTP 下面加了一层 TLS 加密，相当于把明信片换成了带锁的保险箱：内容只有收发双方能打开，中间人看到的只是一堆乱码。

这个加密是怎么建立的？简单说分三步。第一步，服务器先出示一张由权威机构颁发的证书，证明“我确实是这个网站”，防止有人冒充。第二步，浏览器和服务器用一套叫非对称加密的方法，安全地商量出一把只有双方知道的临时钥匙。第三步，之后所有数据都用这把钥匙加密传输，速度快，也足够安全。整个过程在打开网页的一瞬间自动完成，不需要用户做任何操作。

HTTPS 主要带来三个好处。一是保密，别人偷看不到内容；二是防篡改，内容在半路被改会立刻被发现；三是验明正身，你访问的确实是那个网站，而不是钓鱼网站。也正因为这样，现在主流浏览器会把没有 HTTPS 的网站标成“不安全”，很多新功能也只允许在 HTTPS 下使用。

对普通用户来说，看到地址栏的小锁，就可以放心地登录和支付；如果网站提示证书有问题或连接不安全，就不要继续输入密码等敏感信息。对开发者来说，给网站启用 HTTPS 已经是基本要求：证书可以免费申请，服务器上配置一次，之后就能长期使用。

一句话总结：HTTP 是明文说话，HTTPS 是加密说话。这层加密，就是我们每天上网时最基础的那道安全防线。