HTTP（超文本传输协议）以明文发送数据——网络上的任何人都能读取。HTTPS（安全 HTTP）添加了 TLS 加密——数据在浏览器和服务器之间端到端加密。
截至 2026 年，86.9% 的网站使用 HTTPS。Chrome 将于 2026 年 10 月将 HTTPS-First 设为默认，对 HTTP 站点显示全页警告。
并排对比
| HTTP | HTTPS | |
|---|---|---|
| URL 前缀 | http:// | https:// |
| 加密 | 无——明文 | TLS 加密（AES-256） |
| 默认端口 | 80 | 443 |
| 需要证书 | 否 | 是（Let’s Encrypt 免费提供） |
| 浏览器显示 | ”不安全”警告 | 锁头图标 |
| 数据可见于 | 网络上任何人（ISP、Wi-Fi、代理） | 仅发送方和接收方 |
| 数据完整性 | 无——可被中途篡改 | 有——篡改会被检测 |
| 身份认证 | 无——无身份证明 | 证书证明服务器身份 |
| 速度 | 仅 HTTP/1.1 | 启用 HTTP/2（更快） |
| SEO | 负面信号（自 2014 年） | 正面信号 |
| 现代 Web API | 大部分被阻止 | 全部可用 |
| 费用 | 免费 | 免费（Let’s Encrypt） |
| Chrome 2026 年 10 月 | 全页警告 | 正常 |
HTTP 上会发生什么（风险）
在未加密的 HTTP 连接上，网络观察者可以看到一切：
GET /login HTTP/1.1
Host: example.com
Cookie: session=abc123xyz
username=admin&password=MySecret123包括：你访问的 URL、表单数据（用户名、密码、信用卡）、Cookie（会话令牌）、页面内容和 API 响应。同一 Wi-Fi 上的任何人、你与服务器之间的任何路由器，以及你的 ISP 都能读取全部内容。
在 HTTPS 上，同一个观察者看到：
[encrypted data — indistinguishable from random bytes]他们可以看到目标 IP 和域名（SNI），但无法看到 URL 路径、头部、正文或 Cookie。
HTTP 站点做不了什么
浏览器将现代 API 限制为仅 HTTPS（“安全上下文”）：
- Service Workers —— 离线支持、推送通知
- Geolocation API —— GPS 访问
- Camera/Microphone ——
getUserMedia() - Clipboard API —— 读写剪贴板
- Payment Request API —— 原生支付面板
- Web Bluetooth, Web USB —— 硬件访问
- HTTP/2 —— 多路复用、头部压缩（浏览器要求 HTTPS）
如果你的站点使用这些中的任何一个，HTTPS 是强制的——不是可选的。
SEO 差异
Google 在 2014 年确认 HTTPS 为排名信号。直接信号是”轻量级的”（作为平局决胜），但间接影响很大：
- “不安全”警告 → 更高的跳出率 → 更低的互动 → 更低的排名
- 没有 HTTP/2 → 页面加载更慢 → 更差的 Core Web Vitals → 更低的排名
- Chrome HTTPS-First（2026 年 10 月） → 全页警告 → 大量流量损失
”但 HTTPS 更慢”——误解
HTTPS 为 TLS 握手增加了一次往返（TLS 1.3 为 10-40ms）。但 HTTPS 启用了 HTTP/2，使页面加载更快：
- 多路复用 —— 一个连接上的多个请求（HTTP/1.1：一次一个）
- 头部压缩 —— 减少开销
- 会话恢复 —— 回访者跳过握手（TLS 1.3 中为 0-RTT）
最终结果：HTTPS + HTTP/2 站点通常比 HTTP/1.1 站点加载更快。
如何从 HTTP 切换到 HTTPS
- 获取免费证书 —— GetHTTPS（5 分钟，无需安装）
- 安装到服务器 —— Nginx | Apache | cPanel | WordPress
- 设置 301 重定向 —— 重定向指南
- 修复混合内容 —— 混合内容指南
- 更新外部服务 —— Google Search Console、Analytics、社交媒体资料
常见问题
还有留在 HTTP 上的理由吗？
没有。HTTPS 是免费的（Let’s Encrypt），5 分钟设置完成，让你的站点更快（HTTP/2），并避免”不安全”警告。留在 HTTP 上没有任何好处。
HTTPS 能让我的站点完全安全吗？
HTTPS 保护的是连接——它防止窃听、篡改和冒充。它不能防止：应用漏洞（XSS、SQL 注入）、服务器端入侵、钓鱼（加密 ≠ 可信）或用户设备上的恶意软件。
免费证书和付费证书提供的 HTTPS 一样吗？
一样。加密完全相同。来自 Let’s Encrypt 的免费 DV 证书和 $500 的 EV 证书使用相同的 TLS 协议、密码套件和密钥交换。锁头图标也一样。
切换到 HTTPS 会破坏什么吗？
可能会：内容中硬编码的 http:// 链接会导致混合内容警告，一些第三方嵌入可能需要 HTTPS URL。迁移指南涵盖了每种边界情况。