讓我們舉個生活化的例子，假如助理要上傳文件到雲端給主管審核，流程便會是：助理上傳文件(發出請求)→經過TCP傳送資料到伺服器→抵達網路→主管開啟或下載檢視。 像是可能大家都有聽過的 凱薩加密法，就是一個非常基本的加密方式：將明文的字母全部位移固定的距離，解密時再位移回來；例如明文是 「EGG」，位移距離（金鑰）為 3，那麼加密後的密文就會是「HJJ」。 截至2018年6月，Alexa排名前100萬的網站中有[34.6%使用HTTPS作為預設值，網際網路141387個最受歡迎網站的43.1%具有安全實施的HTTPS，以及45%的頁面載入（透過Firefox紀錄）使用HTTPS。 2017年3月，中國註冊域名總數的0.11％使用HTTPS。 收到一個 HTTP 請求時，伺服器可以傳送一個 Set-Cookie (en-US) 的標頭和回應。
- HTTP协议是为了传输网页超文本（文本、图像、多媒体资源），以及规范客户端和服务器端之间互相请求资源的方法的应用层协议。
- 經過之前「網域SEO全面解析」的文章介紹後，相信大家對於網域的構成都有了基礎的認識，而HTTP與HTTPS通常會出現在網址的最前端，用以告訴使用者這個網站所使用的資訊傳遞方式為何。
- 进行网络嗅探攻击非常简单, 对攻击者的要求很低。
- 截至2018年6月，Alexa排名前100萬的網站中有[34.6%使用HTTPS作為預設值，網際網路141387個最受歡迎網站的43.1%具有安全實施的HTTPS，以及45%的頁面載入（透過Firefox紀錄）使用HTTPS。
- 另外,HTTP在传输客户端请求和服务端响应时, 唯一的数据完整性检验就是在报文头部包含了本次传输数据的长度, 而对内容是否被篡改不作确认。
- %x2F（「/」）字元是資料夾分隔符號，子資料夾也同樣會被匹配。
直到2010年開始發生駭客入侵網站竊取帳號的事件，這引起Google的重視，所以從那時候開始Google網站就使用HTTPS進行資料傳輸。 但是HTTPS在剛推出的時候有個缺點，就是因為加密需要運算的資料較多，導致網路速度變得很慢。 因此後來才又發明金鑰功能，讓網路資料在進行傳輸時既安全、速度也不會太慢。 由於非對稱加密的運算量較高，傳遞回應較慢；實際的架構上，會透過公開金鑰加密傳遞出共用的金鑰，再透過共用金鑰加密進行後續的傳遞，兼顧了安全性及傳遞速度。
在2018年時，Google更做了一次大幅改版，要求所有在他們搜尋結果底下的網站都「建議」使用HTTPS，如果沒有使用的話，將會跳出警告標語，讓使用者看到之後為之卻步，不敢使用你的網站。 終端數位憑證由中介機構簽發、中介機構的憑證由更上游的中介機構簽發，直到源頭，它的憑證由自己簽發，這樣就形成了一個 信任鏈。 很遺憾的，還是沒辦法；因為通訊的雙方，雖然看得到對方的公鑰，但沒辦法證明這個公鑰是通訊的對方所擁有。 網景在1994年建立了HTTPS，並應用在網景領航員瀏覽器中。
https://ps5.mediatagtw.com/article/centipede:recharged: 主要作用
電子前線基金會曾經建議「在理想的世界中，任何網路請求都能預設為HTTPS的。」該基金會也曾製作了Firefox擴充組件來推廣這一建議。 但是这个HTTP 1.1版本存在一个很大的问题-明文传输（Plaintext/Clear Text），这个问题在互联网时代的今天是致命的，一旦数据在公共网络中被第三方截获，其通信内容轻而易举地就被窃取了。 這樣的標示除了會影響使用者對於網站的信任度之外，更會影響網站在SEO的排名表現。 Google為了維持搜尋結果中HTTPS加密實行狀況，在「HTTPS as a https://ps5.mediatagtw.com/article/centipede:recharged ranking signal」表明了會將網站是否為HTTPS列為SEO排名的指標之一。 由此可見，HTTP是否轉換為HTTPS，對網站的SEO影響甚大。 （1） 从 HTTP 转向 HTTPS 的应用改造要点：HTTP 页面分析评估信息数据安全等级；WEB 页面访问改造；站点证书申请和部署；启用 HTTPS 协议支持，增加 TCP-443 端口，对外服务。
https://ps5.mediatagtw.com/article/centipede:recharged: JavaScript 使用 Document.cookie 存取
HTTPS報文中的任何東西都被加密，包括所有報頭和荷載。 除了可能的選擇密文攻擊（參見局限小節）之外，一個攻擊者所能知道的只有在兩者之間有一連接這一事實。 HTTP不是安全的，而且攻擊者可以透過監聽和中間人攻擊等手段，取得網站帳戶和敏感訊息等。 HTTPS的設計可以防止前述攻擊，在正確組態時是安全的。 Path 指出一個必定存在於請求 URL 中的 URL 路徑，使 Cookie 標頭能被傳出。 %x2F（「/」）字元是資料夾分隔符號，子資料夾也同樣會被匹配。
有HTTP轉換HTTPS的需求，建議可以尋求專家的幫助。 戰國策提供你SSL安全憑證安裝的服務，我們擁有4種類型的SSL憑證，能夠讓客戶選擇最適合網站所需的類型，讓您的網站加上HTTPS的SSL安全憑證，減少潛在的網安威脅、提高顧客購買的信心，立即詢問相關方案，讓你的網站更上層樓。 雖然HTTPS在資料傳輸上比較安全，但並不是每個網站都需要使用者輸入資料，為什麼現今會掀起一股HTTP轉換HTTPS的浪潮呢？
https://ps5.mediatagtw.com/article/centipede:recharged: 建立 cookies
客户端和服务端在开始传输数据之前，会协商传输过程需要使用的加密算法。 客户端发送协商请求给服务端, 其中包含自己支持的非对称加密的密钥交换算法 ( 一般是RSA), 数据签名摘要算法 ( 一般是SHA或者MD5) , 加密传输数据的对称加密算法 ( 一般是DES),以及加密密钥的长度。 服务端接收到消息之后，选中安全性最高的算法，并将选中的算法发送给客户端，完成协商。 客户端生成随机的字符串，通过协商好的非对称加密算法，使用服务端的公钥对该字符串进行加密，发送给服务端。 服务端接收到之后，使用自己的私钥解密得到该字符串。 在随后的数据传输当中，使用这个字符串作为密钥进行对称加密。
https://ps5.mediatagtw.com/article/centipede:recharged: 瀏覽器實作
假想一下：Alice 和 Bob 準備進行通訊，而 Eve 是不懷好意的竊聽者；Alice 把要傳遞的明文經過 Bob 的公鑰進行加密後，再進行傳遞，由於 Bob 的私鑰只有 Bob 擁有，即使 Eve 竊取到了密文，也無法將其解密回明文。 互動策略更為安全，但需要使用者在他們的瀏覽器中安裝個人的憑證來進行認證。 HTTPS也可被用作客戶端認證手段來將一些訊息限制給合法的使用者。 要做到這樣，管理員通常會給每個使用者建立憑證（通常包含了使用者的名字和電子郵件位址）。 這個憑證會被放置在瀏覽器中，並在每次連接到伺服器時由伺服器檢查。 要使一網路伺服器準備好接受HTTPS連接，管理員必須建立一數位憑證，並交由憑證頒發機構簽章以使瀏覽器接受。
https://ps5.mediatagtw.com/article/centipede:recharged: 主機服務介紹
HTTPS 协议是由 HTTP 加上 TLS/SSL 协议构建的可进行加密传输、身份认证的网络协议，主要通过数字证书、加密算法、非对称密钥等技术完成互联网数据传输加密，实现互联网传输安全保护。 现有互联网环境中仍大约有 65% 的网站使用 HTTP，此部分的互联网站的用户访问会存在很高的安全 隐患，导致信息泄露、木马植入等情况出现。 针对这一情况，为互联网提供安全服务而采用 HTTPS 已是大势所趋。 HTTP 到 HTTPS 的转向可以帮助企业网提升用 户访问安全水平，特别是对于有敏感信息保存和提供金融交易等服务的企业更有帮助。 Google、Facebook 和国内诸多大型互联网公司应用已经全面支持 HTTPS，并且苹果和谷歌两大公司也在积极推动 HTTPS 扩大应用 范围，对 HTTPS 协议在全球网站的部署进度起到加速作用。
https://ps5.mediatagtw.com/article/centipede:recharged: 加密
Firefox 2、Opera 8和執行在Windows Vista的Internet Explorer 7都加入了對SNI的支援。 在某些情形中，被加密資源的URL可僅透過截獲請求和回應的大小推得，這就可使攻擊者同時知道明文（公開的靜態內容）和密文（被加密過的明文），從而使選擇密文攻擊成為可能。 HTTP cookie（web cookie、browser cookie）為伺服器傳送予使用者瀏覽器的一個小片段資料。 瀏覽器可能儲存並於下一次請求回傳 cookie 至相同的伺服器。
https://ps5.mediatagtw.com/article/centipede:recharged: 協定層
在1989年最早推出了HTTP 0.9版本，而1999年公布的HTTP 1.1是到目前（2020年）仍旧广泛使用的版本（引自《HTTP协议几个版本的比较》）。 超文本傳輸協定 是一種用來傳輸超媒體文件 (像是 HTML 文件) 的應用層協定，被設計來讓瀏覽器和伺服器進行溝通，但也可做其他用途。 HTTP 遵循標準客戶端—伺服器模式，由客戶端連線以發送請求，然後等待接收回應。
https://ps5.mediatagtw.com/article/centipede:recharged: 主機服務介紹
Cookie 通常被用來保持使用者的登入狀態——如果兩次請求都來自相同的瀏覽器。 舉例來說，它記住了無狀態（stateless） (en-US)HTTP 協議的有狀態資訊。 HTTPS 协议是由 SSL+HTTP构建的可进行加密传输、身份认证的网络协议，要比 HTTP安全，可防止数据在传输过程中被窃取、改变，确保数据的完整性。 HTTP虽然使用极为广泛, 但是却存在不小的安全缺陷, 主要是其数据的明文传送和消息完整性检测的缺乏, 而这两点恰好是网络支付, 网络交易等新兴应用中安全方面最需要关注的。 HTTPS （全称：Hypertext Transfer Protocol Secure），是以安全为目标的 HTTP 通道，在HTTP的基础上通过传输加密和身份认证保证了传输过程的安全性。 HTTPS 在HTTP 的基础下加入SSL，HTTPS 的安全基础是 SSL，因此加密的详细内容就需要 SSL。
HTTPS 协议的安全是有范围的，在黑客攻击、拒绝服务攻击和服务器劫持等方面几乎起不到什么作用。 （3）身份校验安全性：保证数据到达用户期望的目的地。 就像我们邮寄包裹时，虽然是一个封装好的未掉包的包裹，但必须确定这个包裹不会送错地方，通过身份校验来确保送对了地方。 所以要透過301轉址設定，讓使用者即使點到舊站，也會自動轉址到新站，這是非常重要的，在網址換成HTTPS之後第一件事就請先設定好301轉址。 相信過去大家都看過不少相關新聞，某某公司/電商網站被駭客入侵，竊取了會員資料/帳戶資料，之後轉賣給詐騙集團或推銷公司等利用。 這就是因為HTTP雖然可以傳輸資料，卻沒有完善的安全機制，讓有心人士有機可趁。
憑證頒發機構會驗證數位憑證持有人和其聲明的為同一人。 瀏覽器通常都預裝了憑證頒發機構的憑證，所以他們可以驗證該簽章。 嚴格地講，HTTPS並不是一個單獨的協定，而是對工作在一加密連接（TLS或SSL）上的常規HTTP協定的稱呼。
最初，HTTPS是與SSL一起使用的；在SSL逐漸演變到TLS時，HTTPS也由在2000年五月公布的RFC 2818正式確定下來。 https://ps5.mediatagtw.com/article/centipede:recharged 另外，還有一種安全超文本傳輸協定（S-HTTP）的HTTP安全傳輸實作，但是HTTPS的廣泛應用而成為事實上的HTTP安全傳輸實作，S-HTTP並沒有得到廣泛支援。
可以看到，鉴于电子商务等安全上的需求，HTTPS对比HTTP，在安全方面已经取得了极大的增强。 总结来说，HTTPS的改进点在于创造性的使用了非对称加密算法，在不安全的网路上，安全的传输了用来进行对称加密的密钥，综合利用了非对称加密的安全性和对称加密的快速性。 另外,HTTP在传输客户端请求和服务端响应时, 唯一的数据完整性检验就是在报文头部包含了本次传输数据的长度, 而对内容是否被篡改不作确认。 因此攻击者可以轻易的发动中间人攻击, 修改客户端和服务端传输的数据, 甚至在传输数据中插入恶意代码, 导致客户端被引导至恶意网站被植入木马。 雖然HTTPS這樣的技術早在2008年就有了，但當時並未普及。
为提升用户服务体验，此类 HTTP 网站还部署了内容分发网络（Content Delivery Network，CDN），通过 https://ps5.mediatagtw.com/article/centipede:recharged CDN https://ps5.mediatagtw.com/article/centipede:recharged 将用户需要访问的信息放到离用户所在物理地区最近内容服务站点，可以大幅提升互联网对外服务的获取速度，提供最佳访问体验。 上述 CDN 通常为基于 HTTP的互联网应用提供服务，而随着互联网环境中的劫持、篡改等访问安全问题的日趋严峻，CDN 提供的网络分发方案也需要支持 HTTP改造为 HTTPS 协议。 下面是对 HTTP 到 HTTPS 改造应用和网络的方案介绍。
HTTP 是一種無狀態協定，意思是伺服器不會保存任兩個請求間的任何資料 (狀態)。 儘管作為 TCP/IP 的應用層，HTTP 亦可應用於其他可靠的傳輸層 (例如 UDP)，只要不會無聲無息地遺失訊息即可。 經過之前「網域SEO全面解析」的文章介紹後，相信大家對於網域的構成都有了基礎的認識，而HTTP與HTTPS通常會出現在網址的最前端，用以告訴使用者這個網站所使用的資訊傳遞方式為何。 網路發展至今已與我們的生活緊密結合，不論是查資料、工作甚至是購物，只要連接上網際網路就能輕鬆完成。 但你可曾費心留意過，平時瀏覽的那些網站甚至是自家網站的網址開頭是HTTP還是HTTPS？
HTTPS 存在不同于 HTTP 的默认端口及一个加密/身份验证层（在 HTTP与 TCP 之间）。 它被广泛用于万维网上安全敏感的通讯，例如交易支付等方面。 圖片來自 演算法圖鑑 – 第 5 章：安全性演算法看來要安全的進行通訊，就需要其他的加密方式；例如 迪菲-赫爾曼密鑰交換，或是我們接下來要談的「公開金鑰加密」。
https://ps5.mediatagtw.com/article/centipede:recharged: 協定層
（2）数据完整性：及时发现被第三方篡改的传输内容。 https://ps5.mediatagtw.com/article/centipede:recharged 就像快递员虽然不知道包裹里装了什么东西，但他有可能中途掉包，数据完整性就是指如果被掉包，我们能轻松发现并拒收。 Google將HTTPS視為SEO優化的一個重要因子，所以如果你的網站還在使用HTTP，起步上來說就輸人家一大截了。
https://ps5.mediatagtw.com/article/centipede:recharged: 協定層
进行网络嗅探攻击非常简单, 对攻击者的要求很低。 使用网络发布的任意一款抓包工具, 一个新手就有可能获取到大型网站的用户信息。 我們來打個比方，我們用HTTP傳輸資料時就像是上課在傳紙條，每一次經手都有可能被有心的同學打開偷看，更甚至是竄改內容。 不過是多了一個「Secure」，究竟會讓這2種傳輸協定產生怎麼樣的差異呢？ 這就得從早期網路的使用目的來看，網際網路在初期的使用目的僅為一個部門內的資料傳輸，因此HTTP作為較早期的傳輸協定，為了求資料傳輸的快速，自然就會省略「加密與解密」的步驟，讓資料以明文傳輸。
https://ps5.mediatagtw.com/article/centipede:recharged: 主要作用
到此，服务器客户端双方的身份认证结束，双方确保身份都是真实可靠的。 客户端检查服务端证书，确认是否由自己信任的证书签发机构签发。 如果不是，将是否继续通讯的决定权交给用户选择 ( 注意，这里将是一个安全缺陷 )。 如果检查无误或者用户选择继续，则客户端认可服务端的身份。 簡單來說，HTTPS是使用者透過電腦傳輸資料到伺服器時的一道資安防護罩；SSL則是為了防止資料傳輸過程被有心人士破解或修改的工具。
這個「S」其實就是安全的意思，你可以想像就是在原本的傳輸線路上多加了一層保護罩。 至於要如何判斷哪些網站有加密、哪些網站沒加密呢？ 過去我們可能看不太出來，但幾年前各大瀏覽器開始做改版。 有鑑於HTTP傳輸協定發生太多資料被竊取的案例，因此後來衍生出HTTPS，全名為「超文本傳輸安全協定 」。 HTTPS基本上同樣是資料傳輸的工具，但在傳輸過程中是使用SSL或TLS，多了一道加密的手續，如此一來就算有心人士要竊取，看到的也只是加密符號或一堆亂碼而已。
在2000年代末至2010年代初，HTTPS開始廣泛使用，以確保各類型的網頁真實，保護帳戶和保持使用者通信，身分和網路瀏覽的私密性。 對於 cookie 的使用並沒有法律上或技術上的規定，但可利用 DNT 標頭，指示網頁應用程式關閉頁面的追蹤、或跨站的使用者追蹤。 先说大白话的结论：“HTTPS和HTTP都是数据传输的应用层协议，区别在于HTTPS比HTTP安全”。 HTTP 狀態回應碼 HTTP 狀態碼用來表示特定的 HTTP 請求是否已成功完成。 回應分為五類：資訊回應、成功回應、重定向、用戶端錯誤、以及伺服器錯誤。
https://ps5.mediatagtw.com/article/centipede:recharged: JavaScript 使用 Document.cookie 存取
像是 惡意使用者偽裝成公用無線網路來釣魚，當使用者連上之後，便可以擷取封包，窺探傳輸的內容；再說，即使扣除掉這種不知名的免費無線網路，你也沒辦法確認網路連線到目標伺服器的路上，每個節點都不會窺探、側錄你所傳遞的資料。 憑證可在其過期前被吊銷，通常情況是該憑證的私鑰已經失密。 一個組織也可能有自己的憑證頒發機構，尤其是當設定瀏覽器來存取他們自己的網站時（如，執行在公司或學校區域網路內的網站）。 HTTP协议是为了传输网页超文本（文本、图像、多媒体资源），以及规范客户端和服务器端之间互相请求资源的方法的应用层协议。
https://ps5.mediatagtw.com/article/centipede:recharged: 建立 cookies
在整个SSL握手中,都有一个唯一的随机数来标记SSL握手。 这样防止了攻击者嗅探整个登录过程，获取到加密的登录数据之后，不对数据进行解密, 而直接重传登录数据包的攻击手法。 如果你沒有對新舊網址做301轉址設定，當使用者搜尋到你的舊站，發現網頁錯誤或一片空白，他們會直接跳出去找其他服務商，你就因此錯失一次做生意的機會。 當然，真實的環境不會用這種很容易被解出來的加密方式，而是會透過例如 AES 等方式進行加密；但兩者同樣的是，都會透過同一個金鑰來進行加密與解密，因此我們把這類的加密方式稱為「共用金鑰加密」，或是「對稱式加密」。 加密 指的是把明文資料轉換成無法讀取的內容 – 密文，並且密文能藉由特定的解密過程，將其回復成明文。 歷史上，HTTPS連接經常用於全球資訊網上的交易支付和企業訊息系統中敏感訊息的傳輸。
