加密已經(jīng)是公認(rèn)的有效解決數(shù)據(jù)泄露、流量劫持、釣魚網(wǎng)站的基礎(chǔ)安全措施。電子前沿基金會(EFF)的報告顯示，50%的網(wǎng)絡(luò)流量已啟用加密。加密已成互聯(lián)網(wǎng)大趨勢，百度、淘寶、天貓、京東、亞馬遜中國等國內(nèi)網(wǎng)站流量之王，都陸續(xù)啟用了全站加密。
為什么使用HTTPS加密?
很多網(wǎng)民可能并不明白，為什么自己的訪問行為和隱私數(shù)據(jù)會被人知道，為什么域名沒輸錯，結(jié)果卻跑到了一個釣魚網(wǎng)站上?
互聯(lián)網(wǎng)世界暗流涌動，數(shù)據(jù)泄露、數(shù)據(jù)篡改、流量劫持、釣魚攻擊等安全事件頻發(fā)，篡改網(wǎng)頁推送廣告可以謀取商業(yè)利益，而竊取用戶信息可用于精準(zhǔn)推廣甚至電信欺詐。以流量劫持、數(shù)據(jù)販賣為生的灰色產(chǎn)業(yè)鏈成熟完善，即使是技術(shù)強(qiáng)悍的知名互聯(lián)網(wǎng)企業(yè)，在每天數(shù)十億次的數(shù)據(jù)請求中，都不可避免地會有小部分流量遭到劫持或篡改，更不要提一些小網(wǎng)站。未來的互聯(lián)網(wǎng)網(wǎng)絡(luò)鏈路日趨復(fù)雜，WIFI熱點的普及和移動網(wǎng)絡(luò)的加入，放大了數(shù)據(jù)被劫持、篡改的風(fēng)險。
HTTP明文協(xié)議的缺陷，是導(dǎo)致數(shù)據(jù)泄露、數(shù)據(jù)篡改、流量劫持、釣魚攻擊等安全問題的重要原因。HTTP協(xié)議無法加密數(shù)據(jù)，所有通信數(shù)據(jù)都在網(wǎng)絡(luò)中明文“裸奔”，無法驗證通信方身份，任何人都可以偽造虛假服務(wù)器欺騙用戶，實現(xiàn)“釣魚欺詐”，用戶根本無法察覺。
而HTTPS在HTTP的基礎(chǔ)上加入了SSL/TLS協(xié)議，依靠SSL證書來驗證服務(wù)器的身份，防止服務(wù)器被釣魚網(wǎng)站假冒;為客戶端和服務(wù)器端之間建立“SSL加密通道”，加密傳輸數(shù)據(jù)，并驗證數(shù)據(jù)完整性，有效解決常見的數(shù)據(jù)泄露、數(shù)據(jù)篡改、流量劫持和釣魚攻擊等安全問題，確保客戶端和服務(wù)器之間的信息交互始終安全。
HTTPS加密趨勢分析
瀏覽器、移動端都要求HTTPS加密，最新的協(xié)議和超級權(quán)限應(yīng)用均要求支持HTTPS加密，搜索引擎優(yōu)先展現(xiàn)HTTPS頁面，最新互聯(lián)網(wǎng)技術(shù)提升HTTPS速度性能，各國政府積極推動政府網(wǎng)站支持全站HTTPS加密，全網(wǎng)實現(xiàn)HTTPS加密是必然趨勢。
(1)瀏覽器將對HTTP頁面提出警告
谷歌、火狐等主流瀏覽器對HTTP頁面提出警告，火狐瀏覽器將對“使用非HTTPS提交密碼”的頁面進(jìn)行警告;谷歌Chrome瀏覽器則計劃將所有HTTP網(wǎng)站都打紅叉。
(2)iOS和安卓都要求HTTPS加密
蘋果iOS強(qiáng)制要求App開啟ATS安全標(biāo)準(zhǔn)，所有連接必須支持HTTPS加密請求。安卓也要求開發(fā)者實施HTTPS加密，實現(xiàn)應(yīng)用安全最佳實踐。
(3)http/2協(xié)議只支持HTTPS加密
Chrome、火狐、Safari、Opera、IE和Edge都要求支持HTTPS加密連接，才能使用HTTP/2協(xié)議。HTTP/2協(xié)議具有多路復(fù)用(Multiplexing)、服務(wù)器推送技術(shù)(Server Push), 頭部壓縮(Header Compression)、數(shù)據(jù)流優(yōu)先等性能優(yōu)點，想獲得HTTP/2的性能優(yōu)勢，遷移到全站HTTPS是必經(jīng)之路。
(4)超級權(quán)限應(yīng)用禁用HTTP連接
瀏覽器要求許多新功能需要HTTPS才能使用，Mozilla和Google要求瀏覽器超級權(quán)限都必須通過HTTPS請求才能使用。地理位置，設(shè)備導(dǎo)向，AppCache、用戶通知等涉及用戶敏感數(shù)據(jù)或訪問權(quán)限的最新功能，都必須使用HTTPS安全連接。
（5）HTTPS加密提升搜索排名
谷歌早在2014年就宣布，將把HTTPS加密作為影響搜索排名的重要因素，并優(yōu)先索引HTTPS網(wǎng)頁。百度也公告表明，開放收錄HTTPS站點，從抓取、收錄、排序、展現(xiàn)等全流程支持網(wǎng)站HTTPS化，網(wǎng)站提示不安全，將會接受懲罰。
（6）TLS1.3提升HTTPS速度性能
是一種新的加密協(xié)議，它既能提高互聯(lián)網(wǎng)用戶的訪問速度，又能增強(qiáng)安全性，同時大大提升HTTPS連接的速度性能。
(7)英美強(qiáng)制要求政府網(wǎng)站啟用HTTPS加密
美國政府要求所有政府網(wǎng)站都必須完成全站HTTPS加密;英國政府要求所有政府網(wǎng)站強(qiáng)制啟用全站HTTPS加密，還計劃將service.gov.uk提交至瀏覽器廠商的HSTS預(yù)加載列表，只有通過HTTPS才能訪問政府服務(wù)網(wǎng)站。
為什么需要全站HTTPS加密?
很多網(wǎng)站所有者認(rèn)為，只有登錄頁面和交易頁面才需要HTTPS加密。事實上，全站HTTPS加密才是確保所有用戶數(shù)據(jù)安全可靠加密傳輸?shù)淖罴逊桨�。局部部署HTTPS加密，在HTTP頁面跳轉(zhuǎn)或重定向到HTTPS頁面的過程中，仍然存在受到劫持的風(fēng)險。
攻擊者注入XSS屏蔽跳轉(zhuǎn)到HTTPS 頁面的訪問，用戶永遠(yuǎn)無法進(jìn)入安全站點;或者攔下重定向的命令，自己去獲取重定向后的站點內(nèi)容，然后再回復(fù)給用戶，用戶始終都是在HTTP 站點上訪問，攻擊者可以無限劫持。而全站HTTPS加密可以確保用戶在訪問網(wǎng)站時全程HTTPS加密，不給中間人跳轉(zhuǎn)劫持的機(jī)會，防止會話劫持和中間人攻擊。
全站HTTPS加密實例分析
谷歌對以下這些啟用HTTPS的網(wǎng)站進(jìn)行案例研究，發(fā)現(xiàn)他們都通過啟用HTTPS加密后獲取的最新功能帶來切實商業(yè)效益。
是印度最大的電子商務(wù)網(wǎng)站，遷移到HTTPS，重建其移動網(wǎng)站以便使用ServiceWorker推送通知和添加到主屏幕，他們看到轉(zhuǎn)化率提高了70%并且在網(wǎng)站上使用新的web應(yīng)用程序花費的時間多出3倍。
是印度頂尖的創(chuàng)業(yè)公司之一，也遷移到HTTPS，重建移動Web應(yīng)用程序以使用ServiceWorker推送通知和添加到主屏幕。他們發(fā)現(xiàn)跨瀏覽器的總轉(zhuǎn)化次數(shù)增加了38%，價值更高的用戶每次會話的停留時間增加了10%，而且返回的次數(shù)更多。
將移動網(wǎng)站遷移到HTTPS，并開始使用Credential ManagementAPI(稱為SmartLock)，由于用戶現(xiàn)在已經(jīng)跨平臺登錄，因此使用這個API轉(zhuǎn)化次數(shù)增加了11%。
SSL證書助力全站HTTPS加密
網(wǎng)站認(rèn)證中心提供全線SSL證書產(chǎn)品，支持所有瀏覽器和移動終端;全球信任頂級根，具備最廣泛的終端兼容性;不同認(rèn)證級別的DV SSL證書/OV SSL證書/EV SSL證書，滿足不同客戶的信任需求;支持通配符證書和多域名證書，滿足多域名、多服務(wù)器、負(fù)載均衡等不同應(yīng)用場景，適合各行業(yè)各類型應(yīng)用實現(xiàn)全站HTTPS加密。
