很多人還不清楚http和https的區別是什么？有什么不同呢？

瀏覽網站時，我們會發現網址有兩種“格式”，一種以http://開頭，一種https://開頭。好像這兩種“格式”差別不大，只多了一個s，實際上他們有天壤之別。

其實https是http的安全版，但是它們之前存在著不同，下面我們就從它們的概念和區別上分別介紹一下。

超文本傳輸協議HTTP協議被用于在Web瀏覽器和網站服務器之間傳遞信息，HTTP協議以明文方式發送內容，不提供任何方式的數據加密，如果攻擊者截取了Web瀏覽器和網站服務器之間的傳輸報文，就可以直接讀懂其中的信息，因此，HTTP協議不適合傳輸一些敏感信息，比如：信用卡號、密碼等支付信息。

為了解決HTTP協議的這一缺陷，需要使用另一種協議：安全套接字層超文本傳輸協議HTTPS，為了數據傳輸的安全，HTTPS在HTTP的基礎上加入了SSL協議，SSL依靠證書來驗證服務器的身份，并為瀏覽器和服務器之間的通信加密。

http與https的概念：

HTTPS(全稱：Hypertext Transfer Protocol over Secure Socket Layer)，是以安全為目標的HTTP通道，簡單講是HTTP的安全版。即HTTP下加入SSL層，HTTPS的安全基礎是SSL，因此加密的詳細內容就需要SSL。 它是一個URI scheme(抽象標識符體系)，句法類同http:體系。用于安全的HTTP數據傳輸。

https:URL表明它使用了HTTP，但HTTPS存在不同于HTTP的默認端口及一個加密/身份驗證層(在HTTP與TCP之間)。這個系統的最初研發由網景公司進行，提供了身份驗證與加密通訊方法，現在它被廣泛用于萬維網上安全敏感的通訊。

超文本傳輸協議 (HTTP-Hypertext transfer protocol) 是一種詳細規定了瀏覽器和萬維網服務器之間互相通信的規則，通過因特網傳送萬維網文檔的數據傳送協議。

http與https的區別是什么呢?

HTTP協議傳輸的數據都是未加密的，也就是明文的，因此使用HTTP協議傳輸隱私信息非常不安全，為了保證這些隱私數據能加密傳輸，于是網景公司設計了SSL（Secure Sockets Layer）協議用于對HTTP協議傳輸的數據進行加密，從而就誕生了HTTPS。簡單來說，HTTPS協議是由SSL+HTTP協議構建的可進行加密傳輸、身份認證的網絡協議，要比http協議安全。

https協議需要到ca申請證書，一般免費證書很少，需要交費。

http是超文本傳輸協議，信息是明文傳輸，https 則是具有安全性的ssl加密傳輸協議

http和https使用的是完全不同的連接方式用的端口也不一樣,前者是80,后者是443。

http的連接很簡單,是無狀態的

HTTPS協議是由SSL+HTTP協議構建的可進行加密傳輸、身份認證的網絡協議 要比http協議安全

HTTP協議以明文方式發送內容，不提供任何方式的數據加密。HTTP協議不適合傳輸一些敏感信息，比如：信用卡號、密碼等支付信息。https則是具有安全性的ssl加密傳輸協議。http和https使用的是完全不同的連接方式，用的端口也不一樣，前者是80，后者是443。并且https協議需要到ca申請證書。HTTPS協議是由SSL+HTTP協議構建的可進行加密傳輸、身份認證的網絡協議，要比http協議安全。

HTTPS協議的主要作用可以分為兩種：一種是建立一個信息安全通道，來保證數據傳輸的安全;另一種就是確認網站的真實性。HTTPS在HTTP的基礎上加入了SSL協議，SSL依靠證書來驗證服務器的身份，并為瀏覽器和服務器之間的通信加密。

HTTP 原理：

① 客戶端的瀏覽器首先要通過網絡與服務器建立連接，該連接是通過 TCP 來完成的，一般 TCP 連接的端口號是80。 建立連接后，客戶機發送一個請求給服務器，請求方式的格式為：統一資源標識符（URI）、協議版本號，后邊是 MIME 信息包括請求修飾符、客戶機信息和許可內容。

② 服務器接到請求后，給予相應的響應信息，其格式為一個狀態行，包括信息的協議版本號、一個成功或錯誤的代碼，后邊是 MIME 信息包括服務器信息、實體信息和可能的內容。

HTTPS：是以安全為目標的 HTTP 通道，是 HTTP 的安全版。HTTPS 的安全基礎是 SSL。SSL 協議位于 TCP/IP 協議與各種應用層協議之間，為數據通訊提供安全支持。SSL 協議可分為兩層：SSL 記錄協議（SSL Record Protocol），它建立在可靠的傳輸協議（如TCP）之上，為高層協議提供數據封裝、壓縮、加密等基本功能的支持。SSL 握手協議（SSL Handshake Protocol），它建立在 SSL 記錄協議之上，用于在實際的數據傳輸開始前，通訊雙方進行身份認證、協商加密算法、交換加密密鑰等。

HTTPS 設計目標：

(1) 數據保密性：保證數據內容在傳輸的過程中不會被第三方查看。就像快遞員傳遞包裹一樣，都進行了封裝，別人無法獲知里面裝了什么 。

(2) 數據完整性：及時發現被第三方篡改的傳輸內容。就像快遞員雖然不知道包裹里裝了什么東西，但他有可能中途掉包，數據完整性就是指如果被掉包，我們能輕松發現并拒收 。

(3) 身份校驗安全性：保證數據到達用戶期望的目的地。就像我們郵寄包裹時，雖然是一個封裝好的未掉包的包裹，但必須確定這個包裹不會送錯地方，通過身份校驗來確保送對了地方 。

HTTPS的工作原理

我們都知道HTTPS能夠加密信息，以免敏感信息被第三方獲取，所以很多銀行網站或電子郵箱等等安全級別較高的服務都會采用HTTPS協議。

客戶端在使用HTTPS方式與Web服務器通信時有以下幾個步驟，如圖所示。

（1）客戶使用https的URL訪問Web服務器，要求與Web服務器建立SSL連接。

（2）Web服務器收到客戶端請求后，會將網站的證書信息（證書中包含公鑰）傳送一份給客戶端。

（3）客戶端的瀏覽器與Web服務器開始協商SSL連接的安全等級，也就是信息加密的等級。

（4）客戶端的瀏覽器根據雙方同意的安全等級，建立會話密鑰，然后利用網站的公鑰將會話密鑰加密，并傳送給網站。

（5）Web服務器利用自己的私鑰解密出會話密鑰。

（6）Web服務器利用會話密鑰加密與客戶端之間的通信。

HTTPS的優點

盡管HTTPS并非絕對安全，掌握根證書的機構、掌握加密算法的組織同樣可以進行中間人形式的攻擊，但HTTPS仍是現行架構下最安全的解決方案，主要有以下幾個好處：

（1）使用HTTPS協議可認證用戶和服務器，確保數據發送到正確的客戶機和服務器；

（2）HTTPS協議是由SSL+HTTP協議構建的可進行加密傳輸、身份認證的網絡協議，要比http協議安全，可防止數據在傳輸過程中不被竊取、改變，確保數據的完整性。

（3）HTTPS是現行架構下最安全的解決方案，雖然不是絕對安全，但它大幅增加了中間人攻擊的成本。

（4）谷歌曾在2014年8月份調整搜索引擎算法，并稱“比起同等HTTP網站，采用HTTPS加密的網站在搜索結果中的排名將會更高”。

HTTPS的缺點

雖然說HTTPS有很大的優勢，但其相對來說，還是存在不足之處的：

（1）HTTPS協議握手階段比較費時，會使頁面的加載時間延長近50%，增加10%到20%的耗電；

（2）HTTPS連接緩存不如HTTP高效，會增加數據開銷和功耗，甚至已有的安全措施也會因此而受到影響；

（3）SSL證書需要錢，功能越強大的證書費用越高，個人網站、小網站沒有必要一般不會用。

（4）SSL證書通常需要綁定IP，不能在同一IP上綁定多個域名，IPv4資源不可能支撐這個消耗。

（5）HTTPS協議的加密范圍也比較有限，在黑客攻擊、拒絕服務攻擊、服務器劫持等方面幾乎起不到什么作用。最關鍵的，SSL證書的信用鏈體系并不安全，特別是在某些國家可以控制CA根證書的情況下，中間人攻擊一樣可行。

http切換到HTTPS

如果需要將網站從http切換到https到底該如何實現呢？

這里需要將頁面中所有的鏈接，例如js，css，圖片等等鏈接都由http改為https。

例如：http://www.m.6hecai6.cn改為https://www.m.6hecai6.cn

BTW，這里雖然將http切換為了https，還是建議保留http。所以我們在切換的時候可以做http和https的兼容，具體實現方式是，去掉頁面鏈接中的http頭部，這樣可以自動匹配http頭和https頭。例如：將http://www.m.6hecai6.cn改為//http://www.m.6hecai6.cn。然后當用戶從http的入口進入訪問頁面時，頁面就是http，如果用戶是從https的入口進入訪問頁面，頁面即使https的。

https和http主要區別如下：

1. 安全性不同

http是一個簡單的請求-響應協議，特點是無狀態和明文傳輸、而https，實際上是http加上SSL協議組合形成的一種加密傳輸協議。如果網站采用http協議，因為該協議不加密，極容易遭遇中間人攻擊，用戶的個人隱私和一些敏感數據很容易泄露。https則因為ssl協議的存在，會對網站與客戶端之前傳輸的數據進行加密，不存在數據泄露的問題。

2. 響應速度

理論上，http響應速度更快，這是因為http只需三次握手，也就是3個包即可建立連接， 而https除了三次握手，還需進行ssl握手，一共需要12個包。

3. 端口

http和https采用兩種完全不同的連接方式，前者采用的是80端口，后者則是443端口。

4. 消耗資源

https是構建在SSL之上的http協議，所以https會消耗更多的服務器資源。

5. 展示方式

由于http是一種沒有加密的協議，各大瀏覽器廠商開始支持https站點。例如http站點，會被谷歌瀏覽器標記為“不安全”等等，https站點，則會被各大瀏覽器加上“綠色安全鎖”標記，如果網站配置增強級SSL證書，地址欄還會變為“綠色地址欄。”

6. 費用不同

https需為網站購買和配置ssl證書，會產生一定的費用。 

https能保證安全么？

https會對傳輸數據的內容進行加密，是否意味著它能保證數據的絕對安全？答案是否定的。https只能保證相對安全，而不能保證絕對安全。

這是因為，在建立通信時，會使用到ssl證書里的公鑰，如果ssl證書的數字證書頒發機構不可信，反而會更容易導致數據被竊取。一些網站為了節省成本，可能會使用自簽名的ssl證書，這種證書沒有第三方監督和審核，也不受瀏覽器和操作系統的信任。

所以，在購買ssl證書時，應該選擇正規的數字證書頒發機構頒發的證書，才是安全可信任的。

站長如何搭建HTTPS站點？

說到HTTPS站點的搭建，就不得不提到SSL協議，SSL是Netscape公司率先采用的網絡安全協議，它是在傳輸通信協議（TCP/IP）上實現的一種安全協議，采用公開密鑰技術，SSL廣泛支持各種類型的網絡，同時提供三種基本的安全服務，它們都使用公開密鑰技術。

1、SSL的作用

（1）、認證用戶和服務器，確保數據發送到正確的客戶機和服務器；

（2）、加密數據以防止數據中途被竊取；

（3）、維護數據的完整性，確保數據在傳輸過程中不被改變。

而SSL證書指的是在SSL通信中驗證通信雙方身份的數字文件，一般分為服務器證書和客戶端證書，我們通常說的SSL證書主要指服務器證書，SSL證書由受信任的數字證書頒發機構CA（如VeriSign，GlobalSign，WoSign等），在驗證服務器身份后頒發，具有服務器身份驗證和數據傳輸加密功能，分為擴展驗證型(EV)SSL證書、組織驗證型(OV)SSL證書、和域名驗證型（DV）SSL證書。

2、SSL證書申請的3個主要步驟

對于SSL證書的申請，主要有以下3個步驟：

（1）、制作CSR文件

所謂CSR就是由申請人制作的Certificate Secure Request證書請求文件，制作過程中，系統會產生2個密鑰，一個是公鑰就是這個CSR文件；另外一個是私鑰，存放在服務器上。

要制作CSR文件，申請人可以參考WEB SERVER的文檔，一般APACHE等，使用OPENSSL命令行來生成KEY+CSR2個文件，Tomcat，JBoss，Resin等使用KEYTOOL來生成JKS和CSR文件，IIS通過向導建立一個掛起的請求和一個CSR文件。

（2）、CA認證

將CSR提交給CA，CA一般有2種認證方式：

①、域名認證：一般通過對管理員郵箱認證的方式，這種方式認證速度快，但是簽發的證書中沒有企業的名稱。

②、企業文檔認證：需要提供企業的營業執照，一般需要3-5個工作日。

也有需要同時認證以上2種方式的證書，叫EV證書，這種證書可以使IE7以上的瀏覽器地址欄變成綠色，所以認證也最嚴格。

（3）、證書的安裝

在收到CA的證書后，可以將證書部署上服務器，一般APACHE文件直接將KEY+CER復制到文件上，然后修改HTTPD.CONF文件；TOMCAT等，需要將CA簽發的證書CER文件導入JKS文件后，復制上服務器，然后修改SERVER.XML；IIS需要處理掛起的請求，將CER文件導入。

免費證書推薦

使用SSL證書不僅能讓信息的安全性更有保障，還可以提高用戶對于網站的信任度，但鑒于對建站成本的考慮，很多站長對其望而卻步，在網絡上免費始終是一個永遠不過時的市場，主機空間有免費的，而SSL證書自然也有免費的，此前，便有消息稱，Mozilla、思科、Akamai、IdenTrust、EFF、以及密歇根大學的研究人員將開啟Let’s Encrypt CA項目，計劃從今夏開始，為網站提供免費SSL證書以及證書管理服務（注：如需更高級的復雜證書，則需付費），同時，還降低了證書安裝的復雜程度，安裝時間僅需20-30秒。

而需要復雜證書的往往是大中型網站，諸如個人博客之類的小型站點完全可以先嘗試免費SSL證書，如果想要購買低價SSL證書可查看站長之家之前發布的文章：如何購買廉價SSL證書？。

下面馬海祥博客再為大家介紹幾款免費SSL證書，比如：CloudFlare SSL、StartSSL、Wosign沃通SSL、NameCheap等。

1、CloudFlare SSL

CloudFlare是美國一家提供CDN服務的網站，在世界各地都有自己的CDN服務器節點，國內外很多大型公司或者網站都在使用CloudFlare的CDN服務，當然國內站長最常用的就是CloudFlare的免費CDN，加速也很好，CloudFlare提供的免費SSL證書是UniversalSSL，即通用SSL，用戶無需向證書發放機構申請和配置證書就可以使用的SSL證書，CloudFlare向所有用戶(包括免費用戶)提供SSL加密功能，web界面5分鐘內就設置好證書，24小時內完成自動部署，為網站的流量提供基于橢圓曲線數字簽名算法（ECDSA）的TLS加密服務。

2、StartSSL

StartSSL是StartCom公司旗下的SSL證書，提供免費SSL證書服務，且StartSSL被包括Chrome、Firefox、IE在內的主流瀏覽器支持，幾乎所有的主流瀏覽器都可以正常識別StartSSL，任何個人都可以從StartSSL中申請到免費一年的SSL證書。

3、Wosign沃通SSL

Wosign沃通是國內一家提供SSL證書服務的網站，其免費的SSL證書申請比較簡單，在線開通，一個SSL證書只能對應一個域名，支持證書狀態在線查詢協議(OCSP)。

4、NameCheap

NameCheap是一家領先的ICANN認可的域名注冊和網站托管公司，成立于2000年，該公司提供免費DNS解析，網址轉發（可隱藏原URL，支持301重定向）等服務，此外，NameCheap還提供了一年的SSL證書免費服務。