儘管作為 TCP/IP 的應用層，HTTP 亦可應用於其他可靠的傳輸層 (例如 UDP)，只要不會無聲無息地遺失訊息即可。 這樣的標示除了會影響使用者對於網站的信任度之外，更會影響網站在SEO的排名表現。 Google為了維持搜尋結果中HTTPS加密實行狀況，在「HTTPS as a ranking signal」表明了會將網站是否為HTTPS列為SEO排名的指標之一。 雖然官方聲稱這個指標的比重只佔不到1％，但是在另一篇網誌「A secure web is here to stay」中，Google提出了一項有趣的統計數據：「在系統默認的情況下，搜尋結果頁（SERP）所顯示的前100名網站當中，有81個網站是使用HTTPS」。
HTTP https://ps5.mediatagtw.com/article/nostalgic train 全名是 超文本傳輸協定（HyperText Transfer Protocol），內容只規範了客戶端請求與伺服器回應的標準，實際上是藉由 TCP 作為資料的傳輸方式。 交互策略更爲安全，但需要用戶在他們的瀏覽器中安裝個人的證書來進行認證。 自2018年起，Firefox及Chromium（以及Google Chrome、Microsoft Edge）調整了其顯示網站域名及其安全程度的方式，包括不再突出顯示HTTPS協議下的網頁及將非HTTPS協議下的網頁標註爲不安全。 電子前哨基金會曾經建議“在理想的世界中，任何網絡請求都能默認爲HTTPS的。 ”該基金會也曾製作了Firefox擴展組件來推廣這一建議。 SSL（Secure Socket Layer，安全套接字層）：1994年爲 Netscape 所研發，SSL 協議位於 TCP/IP 協議與各種應用層協議之間，爲數據通訊提供安全支持。
https://ps5.mediatagtw.com/article/nostalgic train: 瀏覽器實現
Https實質上是http的升級版，彌補了http的不安全性等因素。 最關鍵的是，SSL 證書的信用鏈體系並不安全。 特別是在某些國家可以控制 CA 根證書的情況下，中間人攻擊一樣可行。 很遺憾的，還是沒辦法；因為通訊的雙方，雖然看得到對方的公鑰，但沒辦法證明這個公鑰是通訊的對方所擁有。 網景在1994年創建了HTTPS，並應用在網景導航者瀏覽器中。
- 就像我們郵寄包裹時，雖然是一個封裝好的未掉包的包裹，但必須確定這個包裹不會送錯地方，通過身份校驗來確保送對了地方。
- HTTPS 在HTTP 的基礎下加入SSL，HTTPS 的安全基礎是 SSL，因此加密的詳細內容就需要 SSL。
- HTTP協議是超文本傳輸協議的縮寫，英文是Hyper Text Transfer Protocol。
- 503 Server Unavailable – 服務器當前不能處理客戶端的請求，一段時間後可能恢復正常。
- 客戶端發送協商請求給服務端, 其中包含自己支持的非對稱加密的密鑰交換算法 ( 一般是RSA), 數據簽名摘要算法 ( 一般是SHA或者MD5) , 加密傳輸數據的對稱加密算法 ( 一般是DES),以及加密密鑰的長度。
- 收到一個 HTTP 請求時，伺服器可以傳送一個 Set-Cookie (en-US) 的標頭和回應。
- 可以註明 Cookie 的有效或終止時間，超過後 Cookie 將不再發送。
最初，HTTPS是與SSL一起使用的；在SSL逐漸演變到TLS時，HTTPS也由在2000年五月公佈的RFC 2818正式確定下來。 GET是直接添加到URL後面的，直接就可以在URL中看到內容，而POST是放在報文內部的，用戶無法直接看到。 URL 則是用來定位具體的資源的，標示了一個具體的資源位置。 網絡協議是計算機之間爲了實現網絡通信而達成的一種“約定”或者”規則“，有了這種”約定“，不同廠商的生產設備，以及不同操作系統組成的計算機之間，就可以實現通信。 終端數位憑證由中介機構簽發、中介機構的憑證由更上游的中介機構簽發，直到源頭，它的憑證由自己簽發，這樣就形成了一個 信任鏈。
https://ps5.mediatagtw.com/article/nostalgic train: 協議層
How Browsers Work 關於瀏覽器內部實作及 HTTP https://ps5.mediatagtw.com/article/nostalgic train2025 通訊協定請求流程的一篇非常詳盡的文章。 HTTP 狀態回應碼 HTTP 狀態碼用來表示特定的 HTTP 請求是否已成功完成。 回應分為五類：資訊回應、成功回應、重定向、用戶端錯誤、以及伺服器錯誤。 HTTPS 協議的安全是有範圍的，在黑客攻擊、拒絕服務攻擊和服務器劫持等方面幾乎起不到什麼作用。 （3）身份校驗安全性：保證數據到達用戶期望的目的地。
- Https實質上是http的升級版，彌補了http的不安全性等因素。
- 一種叫服務器名稱指示（SNI）的方案通過在加密連接創建前向服務器發送主機名解決了這一問題。
- 上述 CDN 通常爲基於 HTTP的互聯網應用提供服務，而隨着互聯網環境中的劫持、篡改等訪問安全問題的日趨嚴峻，CDN 提供的網絡分發方案也需要支持 HTTP改造爲 HTTPS 協議。
- 博客登錄抓包可以看到訪問的賬號密碼都是明文傳輸， 這樣客戶端發出的請求很容易被不法分子截取利用，因此，HTTP協議不適合傳輸一些敏感信息，比如：各種賬號、密碼等信息，使用http協議傳輸隱私信息非常不安全。
- 電子前哨基金會曾經建議“在理想的世界中，任何網絡請求都能默認爲HTTPS的。
- 證書頒發機構會驗證數字證書持有人和其聲明的爲同一人。
HTTPS 主要由兩部分組成：HTTP + SSL / TLS，也就是在 HTTP https://ps5.mediatagtw.com/article/nostalgic train2025 上又加了一層處理加密信息的模塊。 服務端和客戶端的信息傳輸都會通過 TLS 進行加密，所以傳輸的數據都是加密後的數據。 假想一下：Alice 和 Bob 準備進行通訊，而 Eve 是不懷好意的竊聽者；Alice 把要傳遞的明文經過 Bob 的公鑰進行加密後，再進行傳遞，由於 Bob 的私鑰只有 Bob 擁有，即使 Eve 竊取到了密文，也無法將其解密回明文。 證書可在其過期前被吊銷，通常情況是該證書的私鑰已經失密。
https://ps5.mediatagtw.com/article/nostalgic train: 加密
現有銀行對外提供的互聯網金融服務中，互聯網門戶類網站和圖片網站主要通過 HTTP對外服務。 其 中門戶網站爲用戶提供金融諮詢和優惠信息等服務，還提供銀行App客戶端、U盾驅動等程序下載服務。 爲提升用戶服務體驗，此類 HTTP 網站還部署了內容分發網絡（Content Delivery Network，CDN），通過 CDN 將用戶需要訪問的信息放到離用戶所在物理地區最近內容服務站點，可以大幅提升互聯網對外服務的獲取速度，提供最佳訪問體驗。 上述 CDN 通常爲基於 HTTP的互聯網應用提供服務，而隨着互聯網環境中的劫持、篡改等訪問安全問題的日趨嚴峻，CDN 提供的網絡分發方案也需要支持 HTTP改造爲 HTTPS 協議。
https://ps5.mediatagtw.com/article/nostalgic train: 請求報文構成
SSL3.0和TLS1.0由於存在安全漏洞，已經很少被使用到。 TLS 1.3 改動會比較大，目前還在草案階段，目前使用最廣泛的是TLS 1.1、TLS 1.2。 503 Server Unavailable – 服務器當前不能處理客戶端的請求，一段時間後可能恢復正常。 HTTP協議是超文本傳輸協議的縮寫，英文是Hyper Text Transfer Protocol。 它是從WEB服務器傳輸超文本標記語言到本地瀏覽器的傳送協議。
https://ps5.mediatagtw.com/article/nostalgic train: 瀏覽器在使用HTTPS傳輸數據的流程是什麼？
實際使用中，絕大說的網站現在都採用的是https協議，這也是未來互聯網發展的趨勢。 下面是通過wireshark抓取的一個博客網站的登錄請求過程。 服務器處理完請求，並收到客戶的應答後，即斷開連接，但是卻不利於客戶端與服務器保持會話連接，爲了彌補這種不足，產生了兩項記錄http狀態的技術，一個叫做Cookie,一個叫做Session。 當通訊開始時，Alice 會先傳遞數位憑證給 Bob，而 Bob 便可以透過數位簽章，來證明憑證的內容確實是屬於 Alice 的；如此一來，證明公鑰是屬於誰的問題就被解決了，即使竊聽者想要從中竊聽，也因為憑證頒發機構的數位簽章，竊聽者將無從介入通訊過程。 因此就出現了 憑證頒發機構，例如 Alice 和 Bob 要準備進行通訊；在開始之前，Alice 必須先提供公鑰 & Email，向憑證頒發機構申請憑證，憑證頒發機構核可後，便會透過 數位簽章 包裹 Alice 提供的資料，製作成 數位憑證。
https://ps5.mediatagtw.com/article/nostalgic train: 主要作用
服務端接收到之後，使用自己的私鑰解密得到該字符串。 在隨後的數據傳輸當中，使用這個字符串作爲密鑰進行對稱加密。 關於 HTTP的明文數據傳輸, 攻擊者最常用的攻擊手法就是網絡嗅探, 試圖從傳輸過程當中分析出敏感的數據, 例如管理員對 Web 程序後臺的登錄過程等等, 從而獲取網站管理權限, 進而滲透到整個服務器的權限。
https://ps5.mediatagtw.com/article/nostalgic train: JavaScript 使用 Document.cookie 存取
收到一個 HTTP 請求時，伺服器可以傳送一個 Set-Cookie (en-US) 的標頭和回應。 Cookie 通常存於瀏覽器中，並隨著請求被放在Cookie HTTP 標頭內，傳給同個伺服器。 可以註明 Cookie 的有效或終止時間，超過後 Cookie 將不再發送。 此外，也可以限制 Cookie 不傳送到特定的網域或路徑。 Get多用來查詢，請求參數放在url中，不會對服務器上的內容產生作用。 Post用來提交，如把賬號密碼放入body中。
https://ps5.mediatagtw.com/article/nostalgic train: 加密
瀏覽器作爲HTTP客戶端通過URL向HTTP服務端即WEB服務器發送所有請求。 https://ps5.mediatagtw.com/article/nostalgic train2025 超文本傳輸協定 是一種用來傳輸超媒體文件 (像是 HTML 文件) 的應用層協定，被設計來讓瀏覽器和伺服器進行溝通，但也可做其他用途。 HTTP 遵循標準客戶端—伺服器模式，由客戶端連線以發送請求，然後等待接收回應。 HTTP 是一種無狀態協定，意思是伺服器不會保存任兩個請求間的任何資料 (狀態)。
雖然HTTPS在資料傳輸上比較安全，但並不是每個網站都需要使用者輸入資料，為什麼現今會掀起一股HTTP轉換HTTPS的浪潮呢？ 客戶端檢查服務端證書，確認是否由自己信任的證書籤發機構簽發。 如果不是，將是否繼續通訊的決定權交給用戶選擇 https://ps5.mediatagtw.com/article/nostalgic train2025 ( 注意，這裏將是一個安全缺陷 )。 如果檢查無誤或者用戶選擇繼續，則客戶端認可服務端的身份。 圖片來自 演算法圖鑑 – 第 5 章：安全性演算法看來要安全的進行通訊，就需要其他的加密方式；例如 迪菲-赫爾曼密鑰交換，或是我們接下來要談的「公開金鑰加密」。
HTTPS https://ps5.mediatagtw.com/article/nostalgic train2025 （全稱：Hypertext Transfer Protocol Secure），是以安全爲目標的 HTTP 通道，在HTTP的基礎上通過傳輸加密和身份認證保證了傳輸過程的安全性。 HTTPS 在HTTP 的基礎下加入SSL，HTTPS 的安全基礎是 SSL，因此加密的詳細內容就需要 SSL。 HTTPS 存在不同於 HTTP 的默認端口及一個加密/身份驗證層（在 HTTP與 TCP 之間）。 它被廣泛用於萬維網上安全敏感的通訊，例如交易支付等方面。 不過是多了一個「Secure」，究竟會讓這2種傳輸協定產生怎麼樣的差異呢？ 這就得從早期網路的使用目的來看，網際網路在初期的使用目的僅為一個部門內的資料傳輸，因此HTTP作為較早期的傳輸協定，為了求資料傳輸的快速，自然就會省略「加密與解密」的步驟，讓資料以明文傳輸。
https://ps5.mediatagtw.com/article/nostalgic train: 請求報文構成
但是隨著網路的功能越來越多元，我們有時候會需要在網路上傳輸密碼等極為重要的資訊，若持續使用HTTP就有可能在傳輸的過程中被駭客竊取或是竄改。 例如使用者送出了一個請求，經過 TCP 的三次握手之後，資料便能透過 TCP 傳遞給伺服器，並等待伺服器回應；然而這個一來一往的傳輸過程，資料都是 明文；如果傳遞的過程中有惡意竊聽者，資料便有機會被窺探、盜用。 HTTPS的主要作用是在不安全的網絡上創建一個安全信道，並可在使用適當的加密套件和服務器證書可被驗證且可被信任時，對竊聽和中間人攻擊提供合理的防護。 HTTP協議是爲了傳輸網頁超文本（文本、圖像、多媒體資源），以及規範客戶端和服務器端之間互相請求資源的方法的應用層協議。 在1989年最早推出了HTTP 0.9版本，而1999年公佈的HTTP 1.1是到目前（2020年）仍舊廣泛使用的版本（引自《HTTP協議幾個版本的比較》）。 HTTPS 協議是由 SSL+HTTP構建的可進行加密傳輸、身份認證的網絡協議，要比 HTTP安全，可防止數據在傳輸過程中被竊取、改變，確保數據的完整性。
戰國策提供你SSL安全憑證安裝的服務，我們擁有4種類型的SSL憑證，能夠讓客戶選擇最適合網站所需的類型，讓您的網站加上HTTPS的SSL安全憑證，減少潛在的網安威脅、提高顧客購買的信心，立即詢問相關方案，讓你的網站更上層樓。 （1） 從 HTTP 轉向 HTTPS 的應用改造要點：HTTP 頁面分析評估信息數據安全等級；WEB 頁面訪問改造；站點證書申請和部署；啓用 HTTPS 協議支持，增加 TCP-443 端口，對外服務。 服務端要求客戶端發送證書，並檢查是否通過驗證。 失敗則關閉連接，認證成功則從客戶端證書中獲得客戶端的公鑰，一般爲1024位或者 2048位。
https://ps5.mediatagtw.com/article/nostalgic train: 瀏覽器實現
%x2F（「/」）字元是資料夾分隔符號，子資料夾也同樣會被匹配。 HTTP是一個基於TCP/IP通信協議來傳遞數據的協議，傳輸的數據類型爲HTML 文件,、圖片文件, 查詢結果等。 Mozilla Observatory 旨在幫助開發者、系統管理員和安全專業人員安全地配置網站的專案。 不知從什麼時候開始，當我們在輸入我們需要打開的網頁的網址，前面的http變成了https，那麼，https是什麼呢？
到此，服務器客戶端雙方的身份認證結束，雙方確保身份都是真實可靠的。 HTTP雖然使用極爲廣泛, 但是卻存在不小的安全缺陷, 主要是其數據的明文傳送和消息完整性檢測的缺乏, 而這兩點恰好是網絡支付, 網絡交易等新興應用中安全方面最需要關注的。 HTTPS也可被用作客戶端認證手段來將一些信息限制給合法的用戶。