https://ps5.mediatagtw.com/article/ps5wiki全攻略
HTTPS報文中的任何東西都被加密，包括所有報頭和荷載。 除了可能的選擇密文攻擊（參見局限小節）之外，一個攻擊者所能知道的只有在兩者之間有一連接這一事實。 HTTP不是安全的，而且攻擊者可以透過監聽和中間人攻擊等手段，取得網站帳戶和敏感訊息等。 HTTPS的設計可以防止前述攻擊，在正確組態時是安全的。 Path 指出一個必定存在於請求 URL 中的 URL 路徑，使 Cookie 標頭能被傳出。
一個組織也可能有自己的憑證頒發機構，尤其是當設定瀏覽器來存取他們自己的網站時（如，執行在公司或學校區域網路內的網站）。 HTTP协议是为了传输网页超文本（文本、图像、多媒体资源），以及规范客户端和服务器端之间互相请求资源的方法的应用层协议。 在1989年最早推出了HTTP 0.9版本，而1999年公布的HTTP 1.1是到目前（2020年）仍旧广泛使用的版本（引自《HTTP协议几个版本的比较》）。 超文本傳輸協定 是一種用來傳輸超媒體文件 (像是 HTML 文件) 的應用層協定，被設計來讓瀏覽器和伺服器進行溝通，但也可做其他用途。 HTTP 遵循標準客戶端—伺服器模式，由客戶端連線以發送請求，然後等待接收回應。 HTTP 是一種無狀態協定，意思是伺服器不會保存任兩個請求間的任何資料 (狀態)。
https://ps5.mediatagtw.com/article/ps5wiki: 主機服務介紹
加密 指的是把明文資料轉換成無法讀取的內容 – 密文，並且密文能藉由特定的解密過程，將其回復成明文。 歷史上，HTTPS連接經常用於全球資訊網上的交易支付和企業訊息系統中敏感訊息的傳輸。 在2000年代末至2010年代初，HTTPS開始廣泛使用，以確保各類型的網頁真實，保護帳戶和保持使用者通信，身分和網路瀏覽的私密性。 對於 cookie 的使用並沒有法律上或技術上的規定，但可利用 DNT 標頭，指示網頁應用程式關閉頁面的追蹤、或跨站的使用者追蹤。 先说大白话的结论：“HTTPS和HTTP都是数据传输的应用层协议，区别在于HTTPS比HTTP安全”。 HTTP 狀態回應碼 HTTP 狀態碼用來表示特定的 HTTP 請求是否已成功完成。
- 雖然HTTPS在資料傳輸上比較安全，但並不是每個網站都需要使用者輸入資料，為什麼現今會掀起一股HTTP轉換HTTPS的浪潮呢？
- 嚴格地講，HTTPS並不是一個單獨的協定，而是對工作在一加密連接（TLS或SSL）上的常規HTTP協定的稱呼。
- 對於 cookie 的使用並沒有法律上或技術上的規定，但可利用 DNT 標頭，指示網頁應用程式關閉頁面的追蹤、或跨站的使用者追蹤。
- Google為什麼要鼓勵大家將HTTP轉換為HTTPS？
HTTPS的主要作用是在不安全的網路上建立一個安全信道，並可在使用適當的加密套件和伺服器憑證可被驗證且可被信任時，對竊聽和中間人攻擊提供合理的防護。 給予使用者一個安全的網站，顧客對於你的品牌與企業才會產生信任感。 對於初次接觸的網站經營者與商家，自己操作轉址既耗時又擔心會失敗嗎？ 有HTTP轉換HTTPS的需求，建議可以尋求專家的幫助。 戰國策提供你SSL安全憑證安裝的服務，我們擁有4種類型的SSL憑證，能夠讓客戶選擇最適合網站所需的類型，讓您的網站加上HTTPS的SSL安全憑證，減少潛在的網安威脅、提高顧客購買的信心，立即詢問相關方案，讓你的網站更上層樓。
https://ps5.mediatagtw.com/article/ps5wiki: 主要作用
但是这个HTTP 1.1版本存在一个很大的问题-明文传输（Plaintext/Clear Text），这个问题在互联网时代的今天是致命的，一旦数据在公共网络中被第三方截获，其通信内容轻而易举地就被窃取了。 這樣的標示除了會影響使用者對於網站的信任度之外，更會影響網站在SEO的排名表現。 Google為了維持搜尋結果中HTTPS加密實行狀況，在「HTTPS as a ranking signal」表明了會將網站是否為HTTPS列為SEO排名的指標之一。 由此可見，HTTP是否轉換為HTTPS，對網站的SEO影響甚大。 （1） 从 HTTP 转向 HTTPS 的应用改造要点：HTTP 页面分析评估信息数据安全等级；WEB 页面访问改造；站点证书申请和部署；启用 HTTPS 协议支持，增加 TCP-443 端口，对外服务。 可以看到，鉴于电子商务等安全上的需求，HTTPS对比HTTP，在安全方面已经取得了极大的增强。
Cookie 通常被用來保持使用者的登入狀態——如果兩次請求都來自相同的瀏覽器。 舉例來說，它記住了無狀態（stateless） (en-US)HTTP 協議的有狀態資訊。 HTTPS 协议是由 SSL+HTTP构建的可进行加密传输、身份认证的网络协议，要比 HTTP安全，可防止数据在传输过程中被窃取、改变，确保数据的完整性。 HTTP虽然使用极为广泛, 但是却存在不小的安全缺陷, 主要是其数据的明文传送和消息完整性检测的缺乏, 而这两点恰好是网络支付, 网络交易等新兴应用中安全方面最需要关注的。 HTTPS （全称：Hypertext Transfer Protocol Secure），是以安全为目标的 HTTP 通道，在HTTP的基础上通过传输加密和身份认证保证了传输过程的安全性。
https://ps5.mediatagtw.com/article/ps5wiki: JavaScript 使用 Document.cookie 存取
HTTPS也可被用作客戶端認證手段來將一些訊息限制給合法的使用者。 要做到這樣，管理員通常會給每個使用者建立憑證（通常包含了使用者的名字和電子郵件位址）。 這個憑證會被放置在瀏覽器中，並在每次連接到伺服器時由伺服器檢查。 要使一網路伺服器準備好接受HTTPS連接，管理員必須建立一數位憑證，並交由憑證頒發機構簽章以使瀏覽器接受。 憑證頒發機構會驗證數位憑證持有人和其聲明的為同一人。 瀏覽器通常都預裝了憑證頒發機構的憑證，所以他們可以驗證該簽章。
CSP 指令 (en-US) https://ps5.mediatagtw.com/article/ps5wiki Content-Security-Policy (en-US) 回應檔頭讓網站管理員控制哪些頁面上的資源能被用戶端程式（user agent）載入。 除了少數特例外，此政策主要關於指定來源伺服器和腳本程式的端點（endpoints）。 （2）数据完整性：及时发现被第三方篡改的传输内容。 就像快递员虽然不知道包裹里装了什么东西，但他有可能中途掉包，数据完整性就是指如果被掉包，我们能轻松发现并拒收。 https://ps5.mediatagtw.com/article/ps5wiki Google將HTTPS視為SEO優化的一個重要因子，所以如果你的網站還在使用HTTP，起步上來說就輸人家一大截了。
https://ps5.mediatagtw.com/article/ps5wiki: 建立 cookies
這就得從早期網路的使用目的來看，網際網路在初期的使用目的僅為一個部門內的資料傳輸，因此HTTP作為較早期的傳輸協定，為了求資料傳輸的快速，自然就會省略「加密與解密」的步驟，讓資料以明文傳輸。 但是隨著網路的功能越來越多元，我們有時候會需要在網路上傳輸密碼等極為重要的資訊，若持續使用HTTP就有可能在傳輸的過程中被駭客竊取或是竄改。 现有银行对外提供的互联网金融服务中，互联网门户类网站和图片网站主要通过 HTTP对外服务。 其 中门户网站为用户提供金融咨询和优惠信息等服务，还提供银行App客户端、U盾驱动等程序下载服务。
Google、Facebook 和国内诸多大型互联网公司应用已经全面支持 HTTPS，并且苹果和谷歌两大公司也在积极推动 HTTPS 扩大应用 范围，对 HTTPS 协议在全球网站的部署进度起到加速作用。 部署 HTTPS https://ps5.mediatagtw.com/article/ps5wiki 后，因为 HTTPS 协议的工作要增加额外的计算资源消耗，例如 SSL 协议加密算法和 SSL 交互次数将占用一定的计算资源和服务器成本。 在大规模用户访问应用的场景下，服务器需要频繁地做加密和解密操作，几乎每一个字节都需要做加解密，这就产生了服务器成本。
https://ps5.mediatagtw.com/article/ps5wiki: 協定層
随着云计算技术的发展，数据中心部署的服务器使用成本在规模增加后逐步下降，相对于用户访问的安全提升，其投入成本已经下降到可接受程度。 HTTPS 全名 超文本傳輸安全協定，那個 S 就是 Secure 的意思；HTTPS 透過 HTTP 進行通訊，但通訊過程使用 SSL/TLS 進行加密，藉由類似於前述的加密方式，在 HTTP 之上定義了相對安全的資料傳輸方法。 例如使用者送出了一個請求，經過 TCP 的三次握手之後，資料便能透過 TCP 傳遞給伺服器，並等待伺服器回應；然而這個一來一往的傳輸過程，資料都是 明文；如果傳遞的過程中有惡意竊聽者，資料便有機會被窺探、盜用。
总结来说，HTTPS的改进点在于创造性的使用了非对称加密算法，在不安全的网路上，安全的传输了用来进行对称加密的密钥，综合利用了非对称加密的安全性和对称加密的快速性。 另外,HTTP在传输客户端请求和服务端响应时, 唯一的数据完整性检验就是在报文头部包含了本次传输数据的长度, 而对内容是否被篡改不作确认。 因此攻击者可以轻易的发动中间人攻击, 修改客户端和服务端传输的数据, 甚至在传输数据中插入恶意代码, 导致客户端被引导至恶意网站被植入木马。 雖然HTTPS這樣的技術早在2008年就有了，但當時並未普及。
https://ps5.mediatagtw.com/article/ps5wiki: 瀏覽器實作
%x2F（「/」）字元是資料夾分隔符號，子資料夾也同樣會被匹配。 Mozilla Observatory 旨在幫助開發者、系統管理員和安全專業人員安全地配置網站的專案。 不知从什么时候开始，当我们在输入我们需要打开的网页的网址，前面的http变成了https，那么，https是什么呢？ Https实质上是http的升级版，弥补了http的不安全性等因素。 特别是在某些国家可以控制 CA 根证书的情况下，中间人攻击一样可行。 相同网络环境下，HTTPS 协议会使页面的加载时间延长近 50%，增加 10%到 20%的耗电。
嚴格地講，HTTPS並不是一個單獨的協定，而是對工作在一加密連接（TLS或SSL）上的常規HTTP協定的稱呼。 當連接到一個提供無效憑證的網站時，較舊的瀏覽器會使用一個對話方塊詢問使用者是否繼續，而較新的瀏覽器會在整個窗口中顯示警告。 How Browsers Work 關於瀏覽器內部實作及 https://ps5.mediatagtw.com/article/ps5wiki HTTP 通訊協定請求流程的一篇非常詳盡的文章。 ② 服务器接到请求后，给予相应的响应信息，其格式为一个状态行，包括信息的协议版本号、一个成功或错误的代码，后边是 MIME https://ps5.mediatagtw.com/article/ps5wiki 信息包括服务器信息、实体信息和可能的内容。
https://ps5.mediatagtw.com/article/ps5wiki: 加密
为提升用户服务体验，此类 HTTP 网站还部署了内容分发网络（Content Delivery Network，CDN），通过 CDN 将用户需要访问的信息放到离用户所在物理地区最近内容服务站点，可以大幅提升互联网对外服务的获取速度，提供最佳访问体验。 上述 CDN 通常为基于 HTTP的互联网应用提供服务，而随着互联网环境中的劫持、篡改等访问安全问题的日趋严峻，CDN 提供的网络分发方案也需要支持 HTTP改造为 HTTPS 协议。 下面是对 HTTP 到 HTTPS 改造应用和网络的方案介绍。 客户端和服务端在开始传输数据之前，会协商传输过程需要使用的加密算法。 客户端发送协商请求给服务端, 其中包含自己支持的非对称加密的密钥交换算法 ( 一般是RSA), 数据签名摘要算法 ( 一般是SHA或者MD5) , 加密传输数据的对称加密算法 ( 一般是DES),以及加密密钥的长度。
當通訊開始時，Alice 會先傳遞數位憑證給 Bob，而 Bob 便可以透過數位簽章，來證明憑證的內容確實是屬於 Alice 的；如此一來，證明公鑰是屬於誰的問題就被解決了，即使竊聽者想要從中竊聽，也因為憑證頒發機構的數位簽章，竊聽者將無從介入通訊過程。 因此就出現了 憑證頒發機構，例如 Alice 和 Bob 要準備進行通訊；在開始之前，Alice 必須先提供公鑰 & Email，向憑證頒發機構申請憑證，憑證頒發機構核可後，便會透過 數位簽章 包裹 Alice 提供的資料，製作成 數位憑證。 HTTP 全名是 超文本傳輸協定（HyperText Transfer Protocol），內容只規範了客戶端請求與伺服器回應的標準，實際上是藉由 TCP 作為資料的傳輸方式。 自2018年起，Firefox及Chromium（以及Google Chrome、Microsoft Edge）調整了其顯示網站域名及其安全程度的方式，包括不再突出顯示HTTPS協定下的網頁及將非HTTPS協定下的網頁標註為不安全。 電子前線基金會曾經建議「在理想的世界中，任何網路請求都能預設為HTTPS的。」該基金會也曾製作了Firefox擴充組件來推廣這一建議。
https://ps5.mediatagtw.com/article/ps5wiki: 主機服務介紹
此外，HTTPS 协议还会影响缓存，增加数据开销和功耗。 https://ps5.mediatagtw.com/article/ps5wiki （1）数据保密性：保证数据内容在传输的过程中不会被第三方查看。 就像快递员传递包裹一样，都进行了封装，别人无法获知里面装了什么。 通常在網站完成後，大家都會跟Google提交Sitemap，讓網頁能見度變高。
https://ps5.mediatagtw.com/article/ps5wiki: 加密
雖然HTTPS在資料傳輸上比較安全，但並不是每個網站都需要使用者輸入資料，為什麼現今會掀起一股HTTP轉換HTTPS的浪潮呢？ ① 客户端的浏览器首先要通过网络与服务器建立连接，该连接是通过TCP 来完成的，一般 TCP 连接的端口号是80。 建立连接后，客户机发送一个请求给服务器，请求方式的格式为：统一资源标识符（URL）、协议版本号，后边是 MIME 信息包括请求修饰符、客户机信息和许可内容。 因為TLS在HTTP之下工作，對上層協定一無所知，所以TLS伺服器只能為一個IP位址/埠組合提供一個憑證。 這就意味著在大部分情況下，使用HTTPS的同時支援基於名字的虛擬主機是不很現實的。 一種叫伺服器名稱指示（SNI）的方案透過在加密連接建立前向伺服器傳送主機名解決了這一問題。
