在成都小程序開發(fā)過程中，網(wǎng)絡(luò)安全和數(shù)據(jù)保護(hù)是至關(guān)重要的。為了確保您的網(wǎng)站安全可靠，您可以使用HTTPS協(xié)議來加密數(shù)據(jù)傳輸并保護(hù)網(wǎng)站的安全性。而SSL證書則是實現(xiàn)HTTPS協(xié)議的關(guān)鍵因素之一。早在2014年8月，由于安全問題，百度正式宣布將使用HTTPS作為排名信號。

百度的舉動意味著將您的網(wǎng)站從HTTP遷移到HTTPS可以使您的搜索結(jié)果略有提升。因此，為什么您的網(wǎng)站應(yīng)該在HTTP上使用HTTPS的簡短答案是因為百度偏愛它。

對于大多數(shù)公司而言，百度推薦使用HTTPS足以進(jìn)行轉(zhuǎn)換，但我們都認(rèn)為，重要的是要知道兩種協(xié)議的含義，HTTP和HTTPS之間的區(qū)別以及每種選擇的優(yōu)缺點是很重要的。我們想從HTTP協(xié)議的概述開始，然后看看為什么百度希望網(wǎng)站擺脫它。

什么是HTTP，它如何工作？為什么它不安全？

HTTP代表超文本傳輸協(xié)議，它是一種在互聯(lián)網(wǎng)上傳輸信息已有15年歷史的方法。HTTP是建立萬維網(wǎng)的協(xié)議。與許多其他Internet協(xié)議一樣，該協(xié)議根據(jù)客戶端-服務(wù)器模型工作。啟動HTTP請求的Web瀏覽器稱為客戶端，將響應(yīng)該請求的Web服務(wù)器稱為服務(wù)器。

假設(shè)您坐在咖啡館里，并嘗試通過本地網(wǎng)絡(luò)（例如，咖啡館的Wi-Fi）登錄到您可愛的微信個人資料（在此示例中，我們假設(shè)微信仍在使用HTTP）?？Х瑞^的Wi-Fi網(wǎng)絡(luò)是公共的，連接到它的任何人都可以訪問通過它傳輸?shù)臄?shù)據(jù)?，F(xiàn)在，讓我們看一下當(dāng)網(wǎng)站使用HTTP時您的數(shù)據(jù)所發(fā)生的情況。所謂數(shù)據(jù)，是指一切，包括您的微信帳戶的登錄名和密碼。

要登錄網(wǎng)站（如微信），您需要輸入登錄憑據(jù)（通常是您的電子郵件或電話號碼和密碼）。一旦您單擊登錄按鈕，您的數(shù)據(jù)就會發(fā)送到服務(wù)器。服務(wù)器收到您的數(shù)據(jù)后，便對其進(jìn)行驗證。如果一切正確，則服務(wù)器將發(fā)送HTTP狀態(tài)“確定”，并且您已登錄到您的帳戶。輕松活潑的。一切似乎還好。

但這是問題所在–如果您的數(shù)據(jù)是通過HTTP傳輸?shù)模瑒t通過不安全的連接（未使用加密）以未加密的方式發(fā)送數(shù)據(jù)，因此，通過HTTP協(xié)議傳輸?shù)娜魏螖?shù)據(jù)都是公開的，可以被截獲甚至被第三方操縱。您可能從未聽說過網(wǎng)絡(luò)嗅探攻擊，但是確實存在此類陷阱。

嗅探是黑客用來捕獲您的敏感網(wǎng)絡(luò)信息（例如密碼，帳戶信息，信用卡號，用戶ID等）的一種攻擊。為此，黑客通常使用sniffer（可捕獲網(wǎng)絡(luò)數(shù)據(jù)包的應(yīng)用程序）。嗅探器也稱為網(wǎng)絡(luò)協(xié)議分析器，但網(wǎng)絡(luò)分析器本質(zhì)上是網(wǎng)絡(luò)故障排除工具，黑客可以巧妙地將其用于惡意目的。

如果未加密網(wǎng)絡(luò)數(shù)據(jù)包（在我們的示例中，數(shù)據(jù)包包含您的微信帳戶的登錄ID和密碼），則可以使用嗅探器讀取此網(wǎng)絡(luò)數(shù)據(jù)包中的數(shù)據(jù)。嗅探與捕獲網(wǎng)絡(luò)數(shù)據(jù)包有關(guān)，一旦使用嗅探器工具捕獲了數(shù)據(jù)包，就可以分析數(shù)據(jù)包的內(nèi)容。這樣，黑客可以竊取您的敏感和私人信息。

如我們所見，HTTP協(xié)議有一個很大的弱點-通過HTTP在您的設(shè)備和Web服務(wù)器之間傳輸?shù)男畔⑽醇用?，并且理論上可以隨時被黑客攔截。對于訪問純信息網(wǎng)站的人來說，HTTP的這一缺點似乎并不重要。但是，在處理在線購物和銀行業(yè)務(wù)中使用的個人信息時，這會帶來明顯的麻煩。但是，通過使用稱為HTTPS的安全通信通道，可以輕松解決HTTP的安全問題。

HTTPS還可以保護(hù)您免受中間人攻擊，DNS重新綁定和重播攻擊等黑客攻擊的影響，但是為了不引起您的困惑，我們將繼續(xù)介紹HTTPS的工作原理以及它如何保護(hù)您免受攻擊我們之前描述的嗅探攻擊。

什么是HTTPS，它如何保護(hù)您的網(wǎng)站？

HTTPS是一種Internet通信協(xié)議，可保存任何類型的數(shù)據(jù)，包括密碼，文本消息和信用卡詳細(xì)信息，在計算機(jī)與要將數(shù)據(jù)發(fā)送到的服務(wù)器之間傳輸時保持安全。簡而言之，HTTPS只是HTTP的安全版本：結(jié)尾處的“ S”字面意思是“安全”。HTTPS通過使用傳輸層安全協(xié)議（TSL）（通常稱為SSL（安全套接字層））使您的數(shù)據(jù)機(jī)密。但是什么是SSL證書？

SSL是一種安全證書，可提供三層保護(hù)：加密，這意味著在瀏覽器（客戶端）和網(wǎng)站（服務(wù)器）之間發(fā)送的所有數(shù)據(jù)都經(jīng)過加密，因此即使數(shù)據(jù)被盜或被黑客竊取，黑客也無法解密它們；數(shù)據(jù)完整性，確保您的數(shù)據(jù)在傳輸過程中不會被修改或破壞而不會被檢測到；和身份驗證，以驗證您是否正在實際與預(yù)期的網(wǎng)站進(jìn)行通信。為了確保您的通訊安全，您可以在瀏覽器的URL欄中尋找一個特殊的綠色掛鎖，以指示網(wǎng)站是否安全。

現(xiàn)在讓我們看一下SSL加密的工作原理，以及它如何保護(hù)您的數(shù)據(jù)免遭嗅探。我們將繼續(xù)使用與以前相同的方案，在該方案中，您嘗試使用電子郵件和密碼登錄到微信帳戶。請記住，這次您是通過受SSL證書保護(hù)的HTTPS連接登錄到微信的。

SSL證書使用所謂的非對稱公共密鑰密碼術(shù)或公共密鑰基礎(chǔ)結(jié)構(gòu)（PKI）系統(tǒng)。PKI系統(tǒng)使用兩種不同的密鑰來加密通信：公共密鑰和私有密鑰。用公鑰加密的任何內(nèi)容都只能由相應(yīng)的私鑰解密，反之亦然。

請注意，顧名思義，私鑰應(yīng)受到嚴(yán)格保護(hù)，并且只有私鑰所有者才能訪問。對于網(wǎng)站，必須將私鑰在Web服務(wù)器上保持安全。相反，公鑰旨在分發(fā)給需要解密最初由私鑰加密的信息的任何人和所有人?，F(xiàn)在我們了解了公鑰-私鑰對的工作原理，接下來我們將介紹SSL證書的工作原理。我們將此過程分為幾個步驟，以使其易于遵循。

SSL證書如何工作？

步驟1.通過握手在服務(wù)器和瀏覽器之間建立安全的通信。當(dāng)瀏覽器發(fā)出URL請求時，握手過程開始。通過發(fā)送此URL請求，客戶端將在客戶端的瀏覽器和服務(wù)器之間啟動安全的SSL連接，并傳輸通信選項（例如加密的版本和類型）?？蛻舳税l(fā)送啟動SSL連接的請求的過程稱為客戶端hello。

步驟2.下一步稱為服務(wù)器hello。收到客戶端的請求后，服務(wù)器通過發(fā)送其SSL證書的副本及其public_key進(jìn)行響應(yīng)，從而完成客戶端問候過程。

第三步客戶端從服務(wù)器接收回該數(shù)據(jù)后，瀏覽器將立即驗證它是否隱式信任證書，或者該證書是否可以由瀏覽器隱式信任的多個證書頒發(fā)機(jī)構(gòu)（CA）之一進(jìn)行驗證。此方法有效，因為每個瀏覽器都有一個預(yù)安裝的來自證書頒發(fā)機(jī)構(gòu)（CA）的受信任SSL證書列表，您可以查看，添加和刪除這些證書。這些證書由一組集中的安全組織控制，包括Symantec，Comodo和GoDaddy。如果服務(wù)器從瀏覽器的列表中提供證書，則表明該網(wǎng)站可以信任。在驗證SSL證書時，瀏覽器還會使用服務(wù)器發(fā)送的public_key創(chuàng)建唯一的對稱public_key。至此，我們的數(shù)據(jù)終于被加密了。

步驟4.然后，服務(wù)器發(fā)回已簽名的確認(rèn)。收到此確認(rèn)后，服務(wù)器和客戶端將啟動SSL加密的會話。這就是SSL提供身份驗證的方式。

步驟5.現(xiàn)在已經(jīng)建立了SSL會話，客戶端和服務(wù)器可以安全地共享以前加密的數(shù)據(jù)。在此過程中創(chuàng)建的對稱密鑰對于特定的SSL會話是唯一的，并且可以用于加密/解密在該會話期間客戶端和服務(wù)器之間交換的數(shù)據(jù)。

使用通過SSL證書保護(hù)的HTTPS連接，可以為您提供我們前面提到的所有保護(hù)。您將獲得身份驗證，因此可以知道您正在與目標(biāo)服務(wù)器進(jìn)行安全通信。您將獲得數(shù)據(jù)加密，因此即使嗅探器攔截并竊取了包含public_key的網(wǎng)絡(luò)程序包，他們也將永遠(yuǎn)無法對其解密。當(dāng)然，您將獲得數(shù)據(jù)完整性，因此您可以傳輸機(jī)密數(shù)據(jù)，而不必?fù)?dān)心它們被損壞或被修改而不會被檢測到。

我的網(wǎng)站需要SSL證書嗎？

在決定是否使用HTTPS而不是HTTP之前，我們想總結(jié)一下HTTPS（以及SSL協(xié)議）而不是HTTP為您的網(wǎng)站帶來的主要好處：

安全。您和您的客戶往返于您的網(wǎng)站的所有信息都經(jīng)過加密和驗證（確保數(shù)據(jù)完整性）。這樣可以使您免于遭受各種潛在的黑客攻擊（例如嗅探，中間人等），并為您的企業(yè)提供了安全基準(zhǔn)。

相信。盡管更多地關(guān)注物理因素，但人們會通過關(guān)心自己的機(jī)密信息安全性的網(wǎng)站來經(jīng)營業(yè)務(wù)。HTTPS和SSL幫助小程序開發(fā)對其業(yè)務(wù)關(guān)系的信任。

SEO。即使是較小的搜索引擎排名提升也將幫助用戶找到您的網(wǎng)站。

全美成都小程序開發(fā)建議所有新網(wǎng)站都使用HTTPS。如果您的網(wǎng)站已經(jīng)建立，則可以從HTTP遷移到HTTPS，但此刻不必一定要正確。如果您有興趣獲得一個使用HTTPS的新網(wǎng)站或當(dāng)前網(wǎng)站，我們可以為您提供從購買證書到確保傳入的HTTP鏈接繼續(xù)正常運(yùn)行的整個過程。