先說大白話的結論：“HTTPS和HTTP都是數據傳輸的應用層協議，區別在於HTTPS比HTTP安全”。 對於 cookie 的使用並沒有法律上或技術上的規定，但可利用 DNT 標頭，指示網頁應用程式關閉頁面的追蹤、或跨站的使用者追蹤。 所以要透過301轉址設定，讓使用者即使點到舊站，也會自動轉址到新站，這是非常重要的，在網址換成HTTPS之後第一件事就請先設定好301轉址。 相信過去大家都看過不少相關新聞，某某公司/電商網站被駭客入侵，竊取了會員資料/帳戶資料，之後轉賣給詐騙集團或推銷公司等利用。 這就是因為HTTP雖然可以傳輸資料，卻沒有完善的安全機制，讓有心人士有機可趁。
在1989年最早推出了HTTP 0.9版本，而1999年公佈的HTTP 1.1是到目前（2020年）仍舊廣泛使用的版本（引自《HTTP協議幾個版本的比較》）。 經過之前「網域SEO全面解析」的文章介紹後，相信大家對於網域的構成都有了基礎的認識，而HTTP與HTTPS通常會出現在網址的最前端，用以告訴使用者這個網站所使用的資訊傳遞方式為何。 網路發展至今已與我們的生活緊密結合，不論是查資料、工作甚至是購物，只要連接上網際網路就能輕鬆完成。 但你可曾費心留意過，平時瀏覽的那些網站甚至是自家網站的網址開頭是HTTP還是HTTPS？ Google為什麼要鼓勵大家將HTTP轉換為HTTPS？
https://ps5.mediatagtw.com/article/khora: 建立 cookies
Cookie https://ps5.mediatagtw.com/article/khora 通常被用來保持使用者的登入狀態——如果兩次請求都來自相同的瀏覽器。 舉例來說，它記住了無狀態（stateless） (en-US)HTTP 協議的有狀態資訊。 圖片來自 演算法圖鑑 – 第 5 章：安全性演算法看來要安全的進行通訊，就需要其他的加密方式；例如 迪菲-赫爾曼密鑰交換，或是我們接下來要談的「公開金鑰加密」。
- 我們來打個比方，我們用HTTP傳輸資料時就像是上課在傳紙條，每一次經手都有可能被有心的同學打開偷看，更甚至是竄改內容。
- ① 客戶端的瀏覽器首先要通過網絡與服務器建立連接，該連接是通過TCP 來完成的，一般 TCP 連接的端口號是80。
- 但是這個HTTP 1.1版本存在一個很大的問題-明文傳輸（Plaintext/Clear Text），這個問題在互聯網時代的今天是致命的，一旦數據在公共網絡中被第三方截獲，其通信內容輕而易舉地就被竊取了。
- 其 中門戶網站爲用戶提供金融諮詢和優惠信息等服務，還提供銀行App客戶端、U盾驅動等程序下載服務。
- 對於 cookie 的使用並沒有法律上或技術上的規定，但可利用 DNT 標頭，指示網頁應用程式關閉頁面的追蹤、或跨站的使用者追蹤。
瀏覽器通常都預裝了憑證頒發機構的憑證，所以他們可以驗證該簽章。 嚴格地講，HTTPS並不是一個單獨的協定，而是對工作在一加密連接（TLS或SSL）上的常規HTTP協定的稱呼。 當連接到一個提供無效憑證的網站時，較舊的瀏覽器會使用一個對話方塊詢問使用者是否繼續，而較新的瀏覽器會在整個窗口中顯示警告。 ② 服務器接到請求後，給予相應的響應信息，其格式爲一個狀態行，包括信息的協議版本號、一個成功或錯誤的代碼，後邊是 MIME https://ps5.mediatagtw.com/article/khora2025 https://ps5.mediatagtw.com/article/khora https://ps5.mediatagtw.com/article/khora2025 信息包括服務器信息、實體信息和可能的內容。
https://ps5.mediatagtw.com/article/khora: 加密
HTTPS基本上同樣是資料傳輸的工具，但在傳輸過程中是使用SSL或TLS，多了一道加密的手續，如此一來就算有心人士要竊取，看到的也只是加密符號或一堆亂碼而已。 HTTP跟HTTPS近年來在網路界中討論度非常高的話題，不只是工程師、網路管理者需要具備的基本常識，就連使用者也要知道兩者究竟有什麼差異，因為這牽涉到資訊安全和隱私的部分。 超文本傳輸協定 是一種用來傳輸超媒體文件 (像是 HTML 文件) 的應用層協定，被設計來讓瀏覽器和伺服器進行溝通，但也可做其他用途。 HTTP 遵循標準客戶端—伺服器模式，由客戶端連線以發送請求，然後等待接收回應。 HTTP 是一種無狀態協定，意思是伺服器不會保存任兩個請求間的任何資料 (狀態)。
https://ps5.mediatagtw.com/article/khora: JavaScript 使用 Document.cookie 存取
使用網絡發佈的任意一款抓包工具, 一個新手就有可能獲取到大型網站的用戶信息。 現有銀行對外提供的互聯網金融服務中，互聯網門戶類網站和圖片網站主要通過 HTTP對外服務。 其 中門戶網站爲用戶提供金融諮詢和優惠信息等服務，還提供銀行App客戶端、U盾驅動等程序下載服務。 爲提升用戶服務體驗，此類 HTTP 網站還部署了內容分發網絡（Content Delivery Network，CDN），通過 CDN 將用戶需要訪問的信息放到離用戶所在物理地區最近內容服務站點，可以大幅提升互聯網對外服務的獲取速度，提供最佳訪問體驗。
https://ps5.mediatagtw.com/article/khora: 協定層
在整個SSL握手中,都有一個唯一的隨機數來標記SSL握手。 這樣防止了攻擊者嗅探整個登錄過程，獲取到加密的登錄數據之後，不對數據進行解密, 而直接重傳登錄數據包的攻擊手法。 如果你沒有對新舊網址做301轉址設定，當使用者搜尋到你的舊站，發現網頁錯誤或一片空白，他們會直接跳出去找其他服務商，你就因此錯失一次做生意的機會。
https://ps5.mediatagtw.com/article/khora: 主要作用
這樣的標示除了會影響使用者對於網站的信任度之外，更會影響網站在SEO的排名表現。 Google為了維持搜尋結果中HTTPS加密實行狀況，在「HTTPS as a ranking signal」表明了會將網站是否為HTTPS列為SEO排名的指標之一。 由此可見，HTTP是否轉換為HTTPS，對網站的SEO影響甚大。 雖然HTTPS這樣的技術早在2008年就有了，但當時並未普及。
https://ps5.mediatagtw.com/article/khora: 瀏覽器實作
儘管作為 TCP/IP 的應用層，HTTP 亦可應用於其他可靠的傳輸層 (例如 UDP)，只要不會無聲無息地遺失訊息即可。 今天從加密的方式出發，考慮每種加密通訊過程中可能受到的攻擊，逐步演變成現今最普遍的加密方式，並藉此來說明 HTTP 與 HTTPS 之間的差異，希望能幫助讀者您理解網路通訊中最基礎的安全知識。 當通訊開始時，Alice 會先傳遞數位憑證給 Bob，而 Bob 便可以透過數位簽章，來證明憑證的內容確實是屬於 Alice 的；如此一來，證明公鑰是屬於誰的問題就被解決了，即使竊聽者想要從中竊聽，也因為憑證頒發機構的數位簽章，竊聽者將無從介入通訊過程。
https://ps5.mediatagtw.com/article/khora: 主機服務介紹
要做到這樣，管理員通常會給每個使用者建立憑證（通常包含了使用者的名字和電子郵件位址）。 這個憑證會被放置在瀏覽器中，並在每次連接到伺服器時由伺服器檢查。 要使一網路伺服器準備好接受HTTPS連接，管理員必須建立一數位憑證，並交由憑證頒發機構簽章以使瀏覽器接受。 憑證頒發機構會驗證數位憑證持有人和其聲明的為同一人。
https://ps5.mediatagtw.com/article/khora: 協定層
How Browsers Work 關於瀏覽器內部實作及 HTTP 通訊協定請求流程的一篇非常詳盡的文章。 當然，真實的環境不會用這種很容易被解出來的加密方式，而是會透過例如 AES 等方式進行加密；但兩者同樣的是，都會透過同一個金鑰來進行加密與解密，因此我們把這類的加密方式稱為「共用金鑰加密」，或是「對稱式加密」。 加密 指的是把明文資料轉換成無法讀取的內容 – 密文，並且密文能藉由特定的解密過程，將其回復成明文。
https://ps5.mediatagtw.com/article/khora: 瀏覽器實作
HTTPS 全名 超文本傳輸安全協定，那個 S 就是 Secure 的意思；HTTPS 透過 HTTP 進行通訊，但通訊過程使用 SSL/TLS 進行加密，藉由類似於前述的加密方式，在 HTTP 之上定義了相對安全的資料傳輸方法。 https://ps5.mediatagtw.com/article/khora2025 例如使用者送出了一個請求，經過 TCP 的三次握手之後，資料便能透過 TCP 傳遞給伺服器，並等待伺服器回應；然而這個一來一往的傳輸過程，資料都是 明文；如果傳遞的過程中有惡意竊聽者，資料便有機會被窺探、盜用。 HTTP是超文本傳輸協定（HyperText Transfer Protocol）的縮寫，代表一種網際網路在傳遞資訊時的協定，其規範在使用者與伺服器之間的資料傳輸必須以TCP協定（傳輸控制協定）的三次握手（three-way handshake）建立連結。 在TLS版本1.2中，伺服器端傳送的憑證以明文傳輸，因此中國大陸的防火長城可以對特定網站按照匹配的黑名單憑證，檢測到特定憑證即執行TCP重設攻擊，從而導致TLS連接無法建立。 TLS版本1.3中伺服器端憑證被加密，然而伺服器名稱指示仍未被加密，並成為防火長城檢測的新手段。
https://ps5.mediatagtw.com/article/khora: 主機服務介紹
至於要如何判斷哪些網站有加密、哪些網站沒加密呢？ 過去我們可能看不太出來，但幾年前各大瀏覽器開始做改版。 有鑑於HTTP傳輸協定發生太多資料被竊取的案例，因此後來衍生出HTTPS，全名為「超文本傳輸安全協定 」。