HTTP（超文字傳輸協議）以明文傳送資料——網路上的任何人都能讀取。HTTPS（安全 HTTP）新增了 TLS 加密——資料在瀏覽器和伺服器之間端到端加密。
截至 2026 年，86.9% 的網站使用 HTTPS。Chrome 將於 2026 年 10 月將 HTTPS-First 設為預設，對 HTTP 站點顯示全頁警告。
並排對比
| HTTP | HTTPS | |
|---|---|---|
| URL 字首 | http:// | https:// |
| 加密 | 無——明文 | TLS 加密（AES-256） |
| 預設埠 | 80 | 443 |
| 需要證書 | 否 | 是（Let’s Encrypt 免費提供） |
| 瀏覽器顯示 | ”不安全”警告 | 鎖頭圖示 |
| 資料可見於 | 網路上任何人（ISP、Wi-Fi、代理） | 僅傳送方和接收方 |
| 資料完整性 | 無——可被中途篡改 | 有——篡改會被檢測 |
| 身份認證 | 無——無身份證明 | 證書證明伺服器身份 |
| 速度 | 僅 HTTP/1.1 | 啟用 HTTP/2（更快） |
| SEO | 負面訊號（自 2014 年） | 正面訊號 |
| 現代 Web API | 大部分被阻止 | 全部可用 |
| 費用 | 免費 | 免費（Let’s Encrypt） |
| Chrome 2026 年 10 月 | 全頁警告 | 正常 |
HTTP 上會發生什麼（風險）
在未加密的 HTTP 連線上，網路觀察者可以看到一切：
GET /login HTTP/1.1
Host: example.com
Cookie: session=abc123xyz
username=admin&password=MySecret123包括：你訪問的 URL、表單資料（使用者名稱、密碼、信用卡）、Cookie（會話令牌）、頁面內容和 API 響應。同一 Wi-Fi 上的任何人、你與伺服器之間的任何路由器，以及你的 ISP 都能讀取全部內容。
在 HTTPS 上，同一個觀察者看到：
[encrypted data — indistinguishable from random bytes]他們可以看到目標 IP 和域名（SNI），但無法看到 URL 路徑、頭部、正文或 Cookie。
HTTP 站點做不了什麼
瀏覽器將現代 API 限制為僅 HTTPS（“安全上下文”）：
- Service Workers —— 離線支援、推送通知
- Geolocation API —— GPS 訪問
- Camera/Microphone ——
getUserMedia() - Clipboard API —— 讀寫剪貼簿
- Payment Request API —— 原生支付面板
- Web Bluetooth, Web USB —— 硬體訪問
- HTTP/2 —— 多路複用、頭部壓縮（瀏覽器要求 HTTPS）
如果你的站點使用這些中的任何一個，HTTPS 是強制的——不是可選的。
SEO 差異
Google 在 2014 年確認 HTTPS 為排名訊號。直接訊號是”輕量級的”（作為平局決勝），但間接影響很大：
- “不安全”警告 → 更高的跳出率 → 更低的互動 → 更低的排名
- 沒有 HTTP/2 → 頁面載入更慢 → 更差的 Core Web Vitals → 更低的排名
- Chrome HTTPS-First（2026 年 10 月） → 全頁警告 → 大量流量損失
”但 HTTPS 更慢”——誤解
HTTPS 為 TLS 握手增加了一次往返（TLS 1.3 為 10-40ms）。但 HTTPS 啟用了 HTTP/2，使頁面載入更快：
- 多路複用 —— 一個連線上的多個請求（HTTP/1.1：一次一個）
- 頭部壓縮 —— 減少開銷
- 會話恢復 —— 回訪者跳過握手（TLS 1.3 中為 0-RTT）
最終結果：HTTPS + HTTP/2 站點通常比 HTTP/1.1 站點載入更快。
如何從 HTTP 切換到 HTTPS
- 獲取免費證書 —— GetHTTPS（5 分鐘，無需安裝）
- 安裝到伺服器 —— Nginx | Apache | cPanel | WordPress
- 設定 301 重新導向 —— 重新導向指南
- 修復混合內容 —— 混合內容指南
- 更新外部服務 —— Google Search Console、Analytics、社交媒體資料
常見問題
還有留在 HTTP 上的理由嗎？
沒有。HTTPS 是免費的（Let’s Encrypt），5 分鐘設定完成，讓你的站點更快（HTTP/2），並避免”不安全”警告。留在 HTTP 上沒有任何好處。
HTTPS 能讓我的站點完全安全嗎？
HTTPS 保護的是連線——它防止竊聽、篡改和冒充。它不能防止：應用漏洞（XSS、SQL 注入）、伺服器端入侵、釣魚（加密 ≠ 可信）或使用者裝置上的惡意軟體。
免費證書和付費證書提供的 HTTPS 一樣嗎？
一樣。加密完全相同。來自 Let’s Encrypt 的免費 DV 證書和 $500 的 EV 證書使用相同的 TLS 協議、密碼套件和金鑰交換。鎖頭圖示也一樣。
切換到 HTTPS 會破壞什麼嗎？
可能會：內容中硬編碼的 http:// 連結會導致混合內容警告，一些第三方嵌入可能需要 HTTPS URL。遷移指南涵蓋了每種邊界情況。