由于HTTPS可以提供加密、數據完整性和身份驗證三重關鍵保護，已經成為大公司網站的標配；但是國內一些政府、銀行和教育網站安全意識薄弱，2020年了，支持HTTPS的網站屈指可數，實施HTTPS其實并不復雜，甚至借助免費資源，能夠輕松幫助網站升級HTTPS。

認識HTTPS

很長一段時間網站一直使用HTTP（超文本傳輸協議）協議傳輸數據，但是它具有如下不安全的特點：

1. 明文傳輸、易被監聽。
2. 響應內容不加驗證，導致容易被篡改
3. 身份被冒充

1994年網景公司（Netscape）首次提出HTTPS，一直到2010年代初，才開始被網站廣泛采用，以確保各類型的網頁真實，保護賬戶和保持用戶通信，身份和網絡瀏覽的私密性。

什么是HTTPS?

HTTPS（超文本傳輸安全協議）是一種互聯網通信協議，可確保在用戶的計算機與網站之間所傳遞的數據的完整性和機密性。每當訪問網站時，用戶都希望自己的在線體驗安全無虞且具有私密性。因此，主流瀏覽器和搜索引擎都會建議您采用 HTTPS 來保護用戶與您網站之間的連接（無論您網站上提供了什么內容）。

所有使用 HTTPS 發送的數據都可通過傳輸層安全協議 (TLS) 得到保護。該協議可提供三重關鍵保護：

1. 加密 - 對所交換的數據進行加密，以使其免受窺探。這意味著在用戶瀏覽網站期間，沒有人能夠“聽到”其會話內容，也無法在多個網頁上跟蹤其活動或竊取其信息。
2. 數據完整性 - 不管是有意還是無意，在數據傳輸期間數據都無法被修改或損壞，也不會被檢測。
3. 身份驗證 - 證明用戶可與目標網站通信，這有助于保護用戶免遭中間人攻擊并建立用戶信任，進而帶來其他商業效益。

實施 HTTPS 時的最佳做法

使用強大的安全證書

在為網站啟用 HTTPS 的過程中，您必須獲得安全證書。證書由數字證書認證機構 (CA) 頒發，該機構會采取有關措施，確認您的網站地址是否確實屬于您的組織，從而保護訪問者免受中間人攻擊。在設置證書時，您可以選擇 2048 位密鑰，來確保高級別的安全性。如果所持證書的密鑰（1024 位）安全性較弱，請將其升級到 2048 位。選擇網站證書時，請注意以下幾點：

• 從提供技術支持的可靠 CA 處獲取證書。一般來說，高質量的 ssl 證書需要購買，而且價格不菲。如果對站點的要求沒有那么高，也可以在一些網站上申請免費證書，比如阿里云。

• 確定所需證書的類型：適用于單個安全源的單個證書（例如：www.example.com）。適用于多個已知安全源的多網域證書（例如www.example.com、CDN.example.com、example.co.uk）。適用于具有多個動態子域名的安全源的通配型證書（例如：a.example.com、b.example.com）。

HTTPS配置實戰

春節假期，為了方便進行微信小程序調試，抽空對自己的域名truemen.cn支持了HTTPS。由于域名和云服務器都在阿里云，因此在阿里云上申請了免費的個人證書，然后是修改nginx配置。