HTTP 与 HTTPS：安全连接保护什么

HTTP 定义了客户端与 Web 服务器之间的请求和响应。HTTPS 在受保护的连接上使用相同的 Web 语义：数据经过加密，客户端会检查服务器是否获得了地址栏中名称的授权。它保护的是传输中的数据交换，却无法担保网站所有者是否诚信。

HTTPS 改变了什么

使用普通 HTTP 时，网络路径上的其他方可能读取或篡改内容。HTTPS 会协商一个安全通道，并检查所请求主机名的证书。现代网站可以在 TCP 上使用 TLS 来承载 HTTP/1.1 或 HTTP/2，也可以使用 QUIC 来承载 HTTP/3。因此，HTTPS 并不局限于某一个 HTTP 版本。它保护的是浏览器与该安全连接端点之间数据的机密性和完整性。

连接的某些信息仍可能对网络可见，例如远程 IP 地址以及传输数据的大致数量。代理、企业流量检查和第三方资源也可能改变信任边界的位置。HTTPS 并不会让每一项操作都变得私密，也不能替代账户安全。

证书能证明什么

浏览器会检查证书是否涵盖所请求的名称、是否具有可接受的信任链，以及是否符合其安全策略。遇到主机名错误、证书过期或颁发者不受信任的警告时，不应通过关闭验证来“解决”。请仔细阅读具体的错误信息：设备时钟不正确也可能让日期显示为无效。

example.org 的有效证书只是把浏览器与这个名称联系起来；它并不能证明该网站销售的是正品或所言属实。钓鱼网站也可以为自己具有误导性的域名获取有效证书。输入密码之前，请检查完整的主机名，尤其是在点击了某条消息或广告中的链接之后。如需进一步检查，可以使用 2IP 服务器服务检测。

用户和网站所有者应该怎么做

用户应避免通过 HTTP 发送密码或支付信息。如果 HTTPS 显示警告，在进行敏感操作时不要绕过它。网站所有者应将 HTTP 请求重定向到 HTTPS，为每个使用中的主机名维护证书，并避免通过 HTTP 加载页面中的敏感资源。迁移之后，除首页外，还要测试表单、嵌入资源和规范网址。

RFC 9110 定义了 HTTP 和 HTTPS 方案及其共享的语义。2IP 网站信息工具可以显示技术细节，但这些细节并不能评判网站所有者是否诚信。另有一篇指南介绍如何解读 TLS 证书错误。