SSL证书和HTTPS加密的8大误区

随着Chrome、火狐等浏览器对非HTTPS页面亮出警告及出于安全考虑，越来越多的网站开始安装SSL证书，将网络传输协议从明文传输的HTTP升级为加密传输的HTTPS。但对于HTTPS和SSL证书的功能、使用、性能，目前还存在不少理解上的误区。只有将这些误区破除，才能将HTTPS和SSL证书更好地应用于网络安全策略中，最大限度地发挥其作用。

误区1：HTTPS会使网站访问速度变慢

理论上HTTPS会使网站访问速度变慢，因为HTTPS比HTTP多出了SSL握手环节，但这个环节耗费的时间一般仅有几百毫秒，要知道100毫秒才相当于0.1秒，所以我们很难发觉速度上的变化。比较典型的是百度、淘宝等网站均实现了HTTPS，但访问速度并未下降。而有时，HTTPS反倒比HTTP更快一点，这一般发生在一些大公司的内部局域网。因为通常情况下，公司的网关会截取并分析所有的网络通信，但当它遇到HTTPS连接时就只能直接放行，因为HTTPS经过加密无法被解读，因而少了这个解读过程，所以HTTPS会更快。

误区2： HTTPS会大幅增加硬件成本

为实现HTTPS升级CPU、购买更多服务器已经成为历史。随着硬件性能的突飞猛进，HTTPS施加在硬件之上的运算压力已经越来越小，再加上合理的优化和部署，硬件成本增加几乎可以忽略不计。查看：HTTPS性能优化

误区3：只有涉及资金的网站才需要HTTPS

人们对银行、电商、金融等网站必须启用HTTPS已达成共识，但其他类型的网站是否有这个必要呢?《纽约时报》认为很有必要，因为HTTPS有助于保护读者的隐私和确保内容的真实性，它表示将让网站的全部内容都纳入HTTPS的保护下。别忘了Chrome、火狐已开始对非HTTPS页面进行警告，谷歌、百度均给予HTTPS页面更高的搜索权重。因此不论从安全还是发展的角度来讲，HTTPS对各个类型的网站都非常必要。

误区4：在登录页面部署HTTPS即可

在登录页面部署HTTPS，避免密码被截取，至于其它页面就不用了。但这种想法是危险的，因为如果仅登录页使用了HTTPS，在登录以后，其他页面就变成了HTTP。这时，页面缓存数据就暴露了。也就是说，这些缓存数据是在HTTPS环境下建立的，但却在HTTP环境下传输。如果有人劫持到这些缓存数据，密码就很可能被盗。正是基于这个原因，目前很多网站都从单一的登录页HTTPS升级为全站HTTPS。

误区5：SSL证书很昂贵

既然HTTPS必不可少，我们就申请一张，但SSL证书是收费的，似乎并不便宜?首先，SSL证书的价格在网络安全产品中属于比较亲民的;其次，货比三家或多关注CA机构的促销活动，有助于申请到物美价廉的SSL证书;最后，SSL证书对数据、用户安全的保护价值远远超过它的价格。

误区6：国外的SSL证书更好用

国外品牌的SSL证书由于起步较早，所以在性能上长期领先国产SSL证书，以致大家形成了国外证书更好用的思维定式。其实CA机构颁发的SSL证书在功能上都是一样的，都能加密传输数据和认证服务器身份，只是存在浏览器兼容性上的细微差别。国产SSL证书当中也有部分CA颁发的SSL证书支持所有浏览器和操作系统，并且与国外SSL证书相比还具备更多的本土优势，比如申请、审核、签发速度快，服务更加高效率，价格更加亲民。

误区7：SSL证书可以随意申请

SSL证书只要给钱，谁都可以申请?对不起，SSL证书并不是掏钱就一定能申请到，你需要提交真实可靠的资料(如企业营业执照、组织机构代码证等)，经过CA人工审核通过后才可颁发。如果是EV SSL证书，还会在此基础上追加律师函的审核。之所以如此，是因为CA要保证SSL证书被合法机构使用，防止将证书颁发给不法人员并遭利用。

误区8：有了HTTPS 网站就彻底安全了

这可以称为“HTTPS万能论”，部分企业也用HTTPS宣传自己的网站足够安全。但实际上，HTTPS是利用SSL证书满足网络通讯传输加密和服务器身份验证这两个安全需求，即防窃取、防篡改、防钓鱼，别的安全需求就满足不了了。众多网站安全问题也不可能仅靠一张SSL证书就全部解决。但传输加密和身份验证是网站安全的基础，基础都打不好，安全就是空谈。所以请记住这句话——对网络安全来说，HTTPS不是万能的，但没有HTTPS是万万不能的!

相关资讯：

使用HTTPS加密的7大理由

人们认为我不需要HTTPS加密通常基于两个理由,不是说我们没有登录界面呀,就是说我们没有什么敏感数据啊。这篇文章将介绍,即使你的网站没有敏感数据,仍然需要支持...

哪些网站必须启用HTTPS加密

在越来越重视信息安全的今天,HTTPS加密站点无疑将成为主流。那么就目前形势而言,哪些网站必须启用HTTPS加密呢?

web站点部署HTTPS的5大要点

1、强制使用HTTPS一些网站购买了SSL证书并将其配置到Web服务器上,以为这就算完事儿了。但这只是表明你启用了HTTPS选项,而用户很可能不会注意到。为确保每个用户都...

全球50%网站已启用HTTPS,加速淘汰不安全的HTTP

来自Firefox Telemetry的最新监测数据,目前全互联网已经有50%的网站启用了HTTPS协议,从2015年11月到2017年1月,1年多的时间增长了10%。