什么情况下网站必须用HTTPS，搜索引擎和浏览器会怎么区别对待
2026-11-11
摘要：凡涉及登录、支付、个人信息，或需对接小程序与 App 的网站，HTTPS 已是硬性前提。Google 自 2014 年将其列为排名信号，Chrome 68 版起对所有 HTTP 页面标注”不安全”。
一、哪些场景下 HTTPS 是硬性前提，而不是加分项
判断标准与规模无关，取决于页面承载的数据类型与外部平台的强制约束。一旦触碰凭据、资金与个人信息，HTTPS 便从可选优化转为准入条件。
承载身份凭据与资金流转的页面须优先覆盖。登录、注册、下单、支付、实名认证等环节若以明文传输，账号口令与交易信息在公共网络中处于可被读取、可被改写状态。等保 2.0 对二级以上系统明确要求通信传输保障机密性与完整性，SSL 证书是最直接的落地手段。
平台侧的约束更为刚性。微信小程序、微信支付、公众号网页授权与企业微信接口均要求服务端以 HTTPS 响应，iOS 默认仅允许 HTTPS，Android 9 起默认阻止明文流量，协议不符时表现为接口调用失败而非安全告警。
浏览器安全上下文构成第三类约束。定位、摄像头、麦克风与 Service Worker 等能力仅在安全上下文中开放，HTTP/2 与 HTTP/3 的实现同样以 TLS 为前提。《网络安全法》与《密码法》对加密传输与商用密码应用亦有明确要求。
微信小程序与微信支付接口强制使用 HTTPS，协议不符时请求直接被拒绝
Chrome 自 68 版本（2018 年 7 月）起对所有 HTTP 页面标注不安全，Safari 展示红色警告
等保 2.0 二级及以上系统要求通信传输保障机密性、完整性并完成身份鉴别
数据来源：全国信息安全标准化技术委员会，GB/T 22239-2019《信息安全技术 网络安全等级保护基本要求》，2019
二、搜索引擎与浏览器的区别对待，落脚在哪些环节
两者的出发点不同：搜索引擎关心内容是否值得收录，浏览器关心当前连接是否安全，结论却指向同一侧。
搜索引擎侧分为显性与隐性两层。Google 在 2014 年 8 月将 HTTPS 纳入排名算法，定位为轻量级信号；百度在 2015 年公开表示对 HTTPS 站点在收录与排序上给予倾斜。更实质的影响在索引质量：明文页面易被中间设备插入广告或篡改，抓取所得正文与用户所见不一致，快照可信度随之下降。
浏览器侧的处理更直接。以 Chrome 68 为分界，HTTP 页面从中性展示转为明确标注不安全；Safari 采用红色警告样式，Firefox 对锁标识加注删除线。混合内容策略同步收紧，HTTPS 页面残留的 HTTP 资源会被升级或阻止。
| 对比维度 | HTTP 站点的实际表现 | HTTPS 站点的实际表现 | 验证方式 |
|---|---|---|---|
| 地址栏标识 | 标注不安全或红色警告 | 展示锁标识与 https:// 前缀 | 访问页面观察地址栏 |
| 高级接口可用性 | 定位、摄像头、Service Worker 被禁用 | 安全上下文内全部可用 | 控制台检查安全上下文 |
| 搜索引擎收录 | 缺少排名信号，劫持影响快照质量 | 纳入排名信号，正文可信度更高 | 搜索资源平台抓取诊断 |
| 小程序与 App 对接 | 接口请求被拒绝 | 正常建立加密连接 | 抓包核对请求协议 |
| 合规核查 | 通信传输项不通过 | 满足机密性、完整性与身份鉴别 | 等保测评与监管检查 |
表 1 HTTP 与 HTTPS 站点在浏览器与搜索引擎中的差异对照
两者的区别对待可概括为门槛化：缺失 HTTPS 的站点并非被扣分，而是被排除在正常收录与正常体验之外。
三、常见误区与对应的正确做法
只给首页部署证书 → 全站统一部署，内页、静态资源与 API 子域一并纳入
加密强度相同即可信 → DV 仅验证域名所有权，OV 与 EV 额外核验单位身份
部署完成即告结束 → 有效期已压缩至 398 天并向更短周期演进，需监控到期与自动续期
真正的难点出现在部署之后。证书会到期，域名会新增，服务器分散在多个环境与机房，依靠表格登记与人工提醒的方式，在有效期持续压缩的趋势下越来越难以维持。沃通 CA 在数字证书领域深耕二十余年，持有《电子认证服务许可证》与《电子认证服务使用密码许可证》，产品线覆盖国际标准 RSA 算法与国密 SM2 算法；
针对证书有效期持续缩短带来的高频续期，沃通CA 将证书自动化纳入交付体系：沃通 CertBot 承担SSL证书自动化申请、验证、续期与部署执行，沃通 CAC 提供SSL证书资产统一台账、到期看板与告警，沃通 CaaS 以接口方式对接业务系统，提供SSL证书自动化多任务治理、多系统连接能力，三者按证书规模组合为轻量化部署模式或增强版部署模式，适配多种SSL证书自动化应用场景。
常见问题（FAQ）
Q1：纯内网系统，或访客很少的展示型网站，也需要 HTTPS 吗？
A：需要。浏览器对 HTTP 页面的标注不区分内网与外网，用户看到的风险提示一致；内网系统一旦承载员工凭据与业务数据，明文传输同样构成等保测评中的扣分项。
Q2：从 HTTP 切换到 HTTPS，收录和排名会短期下滑吗？
A：规范迁移通常不会。关键动作是全站 301 永久重定向、保留原有 URL 结构、同步更新 sitemap 与 canonical、开启 HSTS，并在搜索资源平台提交改版。下滑多源于新旧协议并行、内链未同步替换。
Q3：证书有效期越来越短，运维该如何跟上？
A：把续期从人工流程转为自动化流程。核心是三件事：统一台账掌握全部证书与到期时间，提前告警留出处理窗口，续期与部署由系统完成并具备失败回滚能力。
