上网的时候，你有没有注意过浏览器地址栏前面那个小锁图标？有锁，网址是https开头的；没锁，网址是http开头的。这背后就是”域名证书”（SSL证书）在起作用。今天就把域名证书、HTTP和HTTPS的区别一次说清楚。
一、先搞懂HTTP和HTTPS
HTTP和HTTPS都是互联网上传输网页数据的协议，说白了就是”浏览器和服务器之间说话的语言规则”。
HTTP（HyperText Transfer Protocol，超文本传输协议），诞生于1991年，是万维网的数据通信基础。你访问的每一个网页，本质上都是通过HTTP从服务器传输到浏览器的。
但HTTP有个致命的缺点：它是明文传输的。什么意思？就是你在浏览器里输入的内容、填的表单、登录的密码，在网络上都是”裸奔”状态。数据从你的电脑传到服务器的路上，经过的每一个路由器、每一个中间节点，理论上都能看到这些内容。
可以这么理解：HTTP就像你寄一张明信片，上面写什么，中间经手的人全都能看到。
HTTPS（HyperText Transfer Protocol Secure，超文本传输安全协议），就是在HTTP外面加了一层加密保护（SSL/TLS）。数据在发送之前先加密，到了服务器再解密，中间的人看到的只是一堆乱码。
还是打比方：HTTPS就像把信装进一个上了锁的保险箱里寄出去，只有收信人手里的钥匙能打开。
二、什么是域名证书（SSL证书）
SSL证书（Secure Sockets Layer，安全套接层），也叫TLS证书，在国内习惯上常被称为”域名证书”或”SSL证书”，是网站启用HTTPS的关键。
它本质上是一个数字证书，由权威的证书颁发机构（CA，Certificate Authority）签发，里面包含了：
- 网站域名信息（比如sleiy.cn）
- 证书持有者的身份信息
- 证书的公钥
- 证书的颁发机构、有效期等
SSL证书的作用主要有三个：
1. 加密传输。证书里包含的公钥和私钥配对，用来加密和解密浏览器和服务器之间的通信。有了它，数据在网络上就是密文，被人截获也看不懂。
2. 身份验证。证书由权威机构签发，相当于网站的”身份证”。浏览器验证证书有效，才敢确认”这个网站确实是它所声称的那个网站”，防止钓鱼和中间人攻击。
3. 建立信任。地址栏的小锁图标和绿色的”安全”标识，就是证书在起作用，告诉用户”这个网站是安全的”。
证书的验证逻辑是这样的：CA机构用自己的私钥给网站的公钥和信息签名，生成证书。浏览器内置了各大CA机构的公钥，访问网站时，浏览器用CA的公钥去验证网站的证书是不是真的。验真通过，锁就亮了。
三、HTTP和HTTPS到底差在哪
一句话总结：HTTP是明文，HTTPS是密文；HTTP不验证身份，HTTPS验证身份。
| 对比项 | HTTP | HTTPS |
|---|---|---|
| 全称 | 超文本传输协议 | 超文本传输安全协议 |
| 端口 | 80 | 443 |
| 加密 | 无，明文传输 | SSL/TLS加密传输 |
| 身份验证 | 无 | 有数字证书验证 |
| 地址栏标识 | 无锁，显示”不安全” | 小锁图标，”安全”标识 |
| 性能 | 更快（无加密开销） | 略慢（加解密开销，但现代差距很小） |
| SEO | 不占优势 | 搜索引擎更信任，排名有优势 |
| 费用 | 免费 | 有免费证书，也有付费证书 |
四、为什么现在都推HTTPS
十年前，HTTPS还只是电商、银行等敏感网站的专利。但今天，几乎所有正规网站都已经切换到了HTTPS，原因有几个：
1. 网络环境越来越不安全。公共WiFi、运营商劫持、中间人攻击，明文HTTP在这些场景下毫无还手之力。用HTTP访问网站，你的账号密码、聊天内容、浏览记录都可能被偷看甚至篡改。
2. 搜索引擎的推动。谷歌早在2014年就宣布将HTTPS作为排名信号，国内搜索引擎也在跟进。同样的内容，HTTPS网站比HTTP网站更容易获得好排名。
3. 浏览器强制提醒。现在的Chrome、Edge、Firefox等浏览器，对HTTP网站都会直接标注”不安全”，地址栏连小锁都没有，用户看到就想跑。
4. 免费证书普及。2015年Let’s Encrypt推出免费SSL证书，任何人都能免费给自己的网站加上HTTPS。以前装SSL证书要花钱，现在不装反而说不过去了。
5. 现代Web功能依赖HTTPS。HTTP/2、Service Worker、地理位置、摄像头、麦克风等现代Web API，都要求网站必须启用HTTPS才能使用。
五、SSL证书的常见类型
按验证级别分，证书分三种：
- DV证书（域名验证）：只验证域名所有权，几分钟就能签发，Let’s Encrypt就是这种。适合个人博客、中小网站。
- OV证书（组织验证）：验证企业组织的真实身份，地址栏会显示公司名称。适合企业官网。
- EV证书（扩展验证）：最严格的验证，需要提交大量企业资料，地址栏显示绿色公司名。适合银行、电商、大企业。
按覆盖域名数量分：
- 单域名证书：只保护一个域名
- 通配符证书：保护一个域名及其所有子域名（比如*.sleiy.cn）
- 多域名证书：一张证书保护多个不相关的域名
六、常见误区
误区一：有了HTTPS网站就一定安全？不是。HTTPS只保证传输过程加密，不保证网站本身没漏洞、不是钓鱼站。钓鱼网站也可以装SSL证书，甚至很多诈骗网站也带小锁。
误区二：装了证书就万事大吉？证书有有效期（一般一年），过期了浏览器会提示”连接不安全”，需要及时续期。很多网站出问题都是证书过期忘更新。
误区三：免费证书不如付费证书？在加密强度上两者没有区别，都是同等强度的加密。区别主要在验证级别和服务：付费的OV/EV证书能展示企业身份，还有技术支持。个人网站用免费DV证书完全够用。
误区四：HTTPS很慢？那是老黄历了。现在有HTTP/2、会话复用等技术，HTTPS和HTTP的速度差距已经微乎其微，在大部分场景下用户根本感觉不到差别。
总结
简单说：HTTP是互联网的基础协议，但明文传输不安全；HTTPS是加了SSL证书加密的版本，能加密数据、验证身份、建立信任。域名证书（SSL证书）就是HTTPS的”通行证”和”身份证”。
对网站站长来说，给网站装上SSL证书、启用HTTPS，现在已经不是”要不要”的问题，而是”必须”的问题——为了安全，为了信任，也为了排名。好在现在免费证书很容易拿，五分钟就能搞定。
顺便说一句，咱们这个小站（sleiy.cn）早就已经全站HTTPS了，你看到这篇文章的时候，地址栏那个小锁就是亮的。
