HTTPS安全性的深度剖析与网址检测指南
一、引言
随着互联网技术的飞速发展，网络安全问题日益受到人们的关注。
HTTPS作为一种安全通信协议，广泛应用于网站数据传输、电子商务等领域。
本文将深度剖析HTTPS的安全性，并提供实用的网址检测指南，帮助用户识别安全的HTTPS网址。
二、HTTPS概述
HTTPS全称为超文本传输安全协议，是HTTP协议的安全版本。
它在HTTP协议的基础上增加了SSL/TLS加密技术，实现了对传输数据的加密处理，有效防止了数据在传输过程中被窃取或篡改。
HTTPS协议的主要作用包括：数据加密、身份验证和完整性保护。
三、HTTPS的安全性深度剖析
1. 数据加密：HTTPS采用SSL/TLS加密技术，确保数据在传输过程中的安全性。通过加密技术，对传输的数据进行加密处理，以防止数据被窃取。即使攻击者截获了传输的数据，也无法解密出原始信息。
2. 身份验证：HTTPS协议可以对服务器进行身份验证，确保用户访问的网站是合法的、可信的。通过验证服务器证书的方式，确认网站的身份信息，防止用户被假冒网站欺骗。
3. 完整性保护：HTTPS协议可以确保数据的完整性，防止数据在传输过程中被篡改。通过哈希函数等方式，对传输的数据进行校验，一旦数据被篡改，校验码将发生变化，从而及时发现并处理。
四、HTTPS网址检测指南
1. 观察网址前缀：安全的HTTPS网址通常以“ https:// ”开头，而非“ http:// ”。用户在访问网站时，应留意网址前缀，确保访问的是安全的HTTPS网址。
2. 查看浏览器地址栏锁形图标：大多数现代浏览器在地址栏中会显示一个锁形图标，表示当前网站使用了HTTPS加密。用户访问网站时，可以观察此图标，判断网站的安全性。
3. 使用安全检测工具：市面上有许多安全检测工具，如浏览器插件、在线检测平台等，可以帮助用户检测网址的安全性。这些工具可以检测网址的SSL证书是否有效、是否使用了HTTPS协议等，为用户提供安全访问建议。
4. 留意证书信息：用户可以通过浏览器查看网站的证书信息，了解网站的证书颁发机构、证书有效期等。若证书信息存在异常，如证书过期、颁发机构不可信等，用户应谨慎访问该网站。
5. 警惕钓鱼网站和恶意软件：钓鱼网站和恶意软件常常通过模仿合法网站的方式，诱导用户输入敏感信息或下载恶意软件。用户在访问网站时，应警惕类似情况，避免泄露个人信息或损坏计算机安全。
五、如何提升网站安全性
1. 使用有效的SSL证书：网站应使用受信任的SSL证书颁发机构颁发的SSL证书，确保网站数据的加密传输。
2. 定期更新网站和插件：网站管理员应定期更新网站和插件，修复已知的安全漏洞，提高网站的安全性。
3. 强化密码策略：网站应要求用户设置强密码，并采取措施限制密码尝试次数，防止密码被破解。
4. 实施安全防护措施：网站管理员应实施安全防护措施，如防火墙、入侵检测系统等，提高网站抵御攻击的能力。
六、总结
本文深度剖析了HTTPS的安全性，包括数据加密、身份验证和完整性保护等方面。
同时，提供了实用的网址检测指南，帮助用户识别安全的HTTPS网址。
介绍了提升网站安全性的建议。
希望本文能帮助读者更好地了解HTTPS安全性，提高网络安全意识。
网站安全检测的方法有哪些
网络漏洞检测备注：需要先注册作为站长并验证网站检测内容：钓鱼、挂马、违规内容、欺诈、暗链
电脑浏览器经常出现该站点安全证书的吊销信息不可用等安全警报，为什么？怎么办？
我们在浏览网页时，浏览器与网站服务器之间一般是通过应用层的HTTP协议（Hyper Text Transfer Protocol，超文本传送协议[[i]]）和HTTPS协议（HypertextTransfer Protocol over Secure Socket Layer，安全套接字层上的超文本传送协议[[ii]]）来传输数据的。
在HTTP协议中，所有的数据都是明文公开传输，如果攻击者在网络上截获了传输的数据，就可以恢复出真实的数据内容。
所以HTTP协议适用于数据不敏感、不需要加密保护的网站应用，例如，网络搜索的网址是，其中的http就代表访问网站的应用层协议为HTTP。
网络搜索的结果是对公众开放的，即使有攻击者截获了用户的搜索结果，也不会对用户带来损失。
HTTPS协议可以简单地理解为安全的HTTP协议，具有身份认证和加密传输的特性。
支持HTTPS协议的网站服务器需要有公钥证书[[iii]]，该证书表明了网站服务器的身份，也包含了网站服务器的公开密钥。
浏览器在访问该网站时，首先验证该网站服务器的身份，即通过用户主机上受信任的证书颁发机构[[iv]]列表（通常是预先安装在主机上的，也可以在后续过程中添加和删除），验证网站服务器的证书是否在有效期内，是否是由受信任的证书颁发机构所颁发等等。
如果验证通过(通常浏览器会在地址栏旁边用锁形图标提示，点击后会进一步提示网站服务器证书信息，如图 1所示为IE浏览器中某HTTPS服务器验证通过)，则浏览器与网站服务器通过服务器证书中的公钥协商出一个会话密钥，后续通信中所传输的数据都通过这个会话密钥进行加密，即使攻击者截获了通信数据，也无法将加密的内容进行恢复，这样用户的数据就得到了很好的保护；如果验证不通过，则浏览器会向用户发出安全警报（通常在地址栏旁边用一个带红叉的图标提示，点击后会进一步提示具体错误信息，如图 2所示为IE浏览器中某HTTPS服务器验证不通过）。
HTTPS协议适用于数据敏感、需要加密保护的网站应用（例如，电子交易、安全电子邮件）。
以支付宝网站为例，其网址为，https表明其采用HTTPS协议进行数据传输，即使攻击者截获用户在支付宝网站上的数据，也很难对其进行解密恢复和篡改，从而保证了用户数据的安全性。
图 1浏览器验证网站证书成功示意图图 2浏览器提示网站证书错误示意图相比于HTTP协议，HTTPS协议增强了网络应用中数据传输的安全性。
但也存在如下问题：1.网站服务器和浏览器需要对应用数据进行加解密操作，增加了其运算负荷，对传输性能有一定影响；2.网站服务器的公钥证书通常需要向权威的证书颁发机构（例如VeriSign[[v]]）申请，同时证书也有使用期限，这就给网站运营增加了一定的成本。
对于某些小成本运营或者内部使用的HTTPS网站服务器，它们可能会使用一些小公司颁发的或者自己制作的公钥证书。
尽管这些证书可以用于加密数据，但通常不能通过用户浏览器的身份验证。
我们在日常浏览网站时看到该站点安全证书的吊销信息不可用等安全警报时，说明所浏览的网站是通过HTTPS协议进行数据传输的，但是由于该网站服务器的公钥证书不能通过安全验证（可能是证书过期，或者是证书的颁发者不在用户主机上受信任的颁发机构列表中等原因）。
在这种情况下，网站服务器与用户浏览器之间的数据传输安全无法得到保证，存在被攻击者窃听或者篡改的可能，所以如果用户在进行电子交易、查看重要资料等操作，那么建议用户中止对该网站的访问（这也是浏览器给出的建议，如图 3所示）；如果用户继续浏览，则可能造成用户财产或者其它重要信息的损失。
图 3浏览器对网站证书验证失败的提示和建议当然也有一些例外，如果用户对所浏览网站有一定的认识，认为继续访问并不会带来个人重要数据的泄露，或者确信即使数据泄露也不会带来损失或完全可以承受可能的损失，那么用户可以选择继续访问网站。
例如，单位内部的邮件服务器为了保护用户隐私，采用HTTPS方式访问，但是为了节约成本，邮件服务器采用自己制作的公钥证书，所以浏览器提示证书验证不通过，但内部用户知道：安全警报是因为邮件服务器的公钥证书不在用户浏览器的受信任证书颁发机构列表中，浏览器与邮件服务器之间数据传输的安全性仍然可以得到保证，那么用户可以忽略浏览器的安全警报，继续使用邮件服务。
总的来说，如果用户浏览网页时出现该站点安全证书的吊销信息不可用等安全警报时，除非用户能够确认该安全问题不会给自己造成损失或者损失可以承受，否则应中止对该网站的浏览，从而最大程度地保护个人的财产和其它重要信息。
[i]网络百科超文本传送协议.网络百科 https.网络百科公钥证书.证书和证书颁发机构.
HTTPS 网站对百度和谷歌SEO有影响吗
据ACM CoNEXT数据显示，使用HTTPS协议会使页面的加载时间延长近50%，增加10%到20%的耗电。
此外，HTTPS协议还会影响缓存，增加数据开销和功耗，甚至已有安全措施也会受到影响也会因此而受到影响。
而且HTTPS协议的加密范围也比较有限，在黑客攻击、拒绝服务攻击、服务器劫持等方面几乎起不到什么作用。
最关键的，SSL 证书的信用链体系并不安全。
特别是在某些国家可以控制 CA 根证书的情况下，中间人攻击一样可行。
经济方面1、SSL 证书需要钱。
功能越强大的证书费用越高。
个人网站、小网站没有必要一般不会用。
2、SSL 证书通常需要绑定 IP，不能在同一 IP 上绑定多个域名。
IPv4 资源不可能支撑这个消耗。
（ SSL 有扩展可以部分解决这个问题，但是比较麻烦，而且要求浏览器、操作系统支持。
Windows XP 就不支持这个扩展，考虑到 XP 的装机量，这个特性几乎没用。
）3、HTTPS 连接缓存不如 HTTP 高效，大流量网站如非必要也不会采用。
流量成本太高。
4、HTTPS 连接服务器端资源占用高很多，支持访客稍多的网站需要投入更大的成本。
如果全部采用 HTTPS，基于大部分计算资源闲置的假设的 VPS 的平均成本会上去。
5、HTTPS 协议握手阶段比较费时，对网站的相应速度有负面影响。
如非必要，没有理由牺牲用户体验。
搜索引擎对HTTPS的态度谷歌的态度谷歌在HTTPS站点的收录问题上与对HTTP站点态度并无什么不同之处，甚至把“是否使用安全加密”（HTTPS）作为搜索排名算法中的一个参考因素，采用HTTPS加密技术的网站能得到更多的展示机会，排名相对同类网站的HTTP站点也更有优势。
而且谷歌曾明确表示“希望所有的站长都能将使用HTTPS协议，而非HTTP”更是表明了其对达到“HTTPS everywhere”这一目标的决心。
网络的态度虽然网络曾表示“不会主动抓取https网页”，但对于“很多https网页无法被收录”也是“耿耿于怀”。
去年9月份，网络曾就“https站点如何建设才能对网络友好”问题发布了一篇文章，给出了“提高https站点的网络友好度”的四项建议及具体操作。
此外，近日的“网络全站HTTPS加密搜索”事件也再次彰显了网络对HTTPS加密的重视。
可见，网络并不“反感”HTTPS站点，所以“不主动抓取”应该也只是暂时的吧。
