https是浏览器与网站之间使用的安全通信方式，名称通常写作HTTPS，即在HTTP通信基础上加入TLS保护。它让客户端和服务器能够在传输过程中加密数据、校验数据是否被篡改，并验证服务器证书所对应的域名身份。地址栏出现https，说明连接采用了这套传输保护机制，但不等于网站展示的商品描述、公告或承诺都真实可信，也不代表网站本身没有风险。

HTTPS是什么：HTTP与TLS如何配合

HTTP负责描述网页请求和响应，例如浏览器请求首页、文章页或商品列表，服务器返回HTML文档、图片或接口数据。单独使用HTTP时，这些数据以可读取的形式经过网络链路，链路上的中间环节若能观察流量，就可能看到请求内容；若缺少有效校验，数据也可能被替换。HTTPS没有另造一套HTML或接口报文格式，而是让HTTP消息通过TLS建立的安全连接传输。

可以把两者的分工理解为：HTTP决定“发送什么”，TLS负责“怎样安全地送达”。浏览器仍然发送普通的网页请求，服务器也仍然返回网页响应；不同之处在于，这些通信数据会在TLS连接中受到加密和完整性保护。HTTPS网址通常使用443端口，HTTP通常使用80端口，不过网站也可以进行不同的网络配置。

HTTPS连接建立时发生什么

用户打开HTTPS地址后，浏览器首先与网站服务器协商安全连接。双方需要确定能够共同使用的加密参数，并完成密钥协商。随后，浏览器会检查服务器提供的数字证书：证书是否由受信任的证书机构签发、是否仍在有效期内、证书中的域名是否与访问地址相符，以及证书链能否通过验证。

证书验证通过后，浏览器和服务器利用握手过程建立会话密钥。公钥密码机制帮助双方完成服务器身份认证或密钥协商；真正传输HTML、图片与接口响应时，通常使用效率更高的对称加密。连接建立后，浏览器发出的请求和服务器返回的响应都会在加密通道中传送，消息还会附带完整性校验，使接收方能够发现传输中被改动的数据。

• 身份验证：浏览器借助证书判断自己连接的服务器是否与访问域名相符。
• 数据加密：传输中的请求和响应不再以普通明文直接暴露，降低旁观者读取通信内容的机会。
• 完整性保护：通信双方可以检测数据在传送过程中是否被修改，减少内容遭到无声替换的风险。

这几项保护共同构成HTTPS的安全价值。它们并不意味着浏览器能判断网站经营者是否诚实，也不能替代网站对账号、支付和业务数据的妥善管理。

证书在HTTPS中起什么作用

数字证书可以看作网站身份与公钥之间的可验证凭据。证书中会记录域名、有效期、公钥等字段，并由证书签发机构进行签名。浏览器内置或维护一组信任依据，沿着证书链进行检查。如果域名不匹配、证书过期、签名验证失败，或者证书链不受信任，浏览器就可能显示安全警告。

证书的作用不是替网站背书，而是帮助浏览器判断当前连接是否确实与某个域名对应。攻击者也可能为仿冒域名申请证书，因此证书有效只说明加密连接和域名验证符合相应规则，不说明网站展示的商品描述、投资建议、下载文件或登录入口一定可靠。用户仍应留意域名拼写、按钮实际触发的动作和网站申请的权限。

地址栏有HTTPS，为什么仍需留意风险

HTTPS主要保护浏览器到当前网站之间的传输链路。它不能自动修复网站代码漏洞，也无法阻止用户把密码主动交给钓鱼网站。仿冒登录站点同样可以使用HTTPS，只要它为自己的域名配置了有效证书，浏览器就可能正常显示加密连接标记。因此，判断网站是否可信不能只看地址栏图标。

HTTPS也不等于网络活动完全匿名。服务端仍需要处理请求，可能知道访问账号、请求时间和所访问的资源；网络观察者虽然通常难以直接读取加密后的请求正文，仍可能看到连接目标、通信时间和数据流量等部分特征。设备感染恶意软件、浏览器扩展读取浏览器中显示的文字和表单输入，或服务器保存数据不当，也都不在传输加密能够单独解决的范围内。

HTTPS与HTTP的主要区别

这组区别说明，HTTPS比裸HTTP多了传输安全层，但并不会改变HTTP请求和响应的基本用途。网站部署HTTPS后，浏览器与服务器之间的通信更难被窃听或篡改；网站展示的商品参数或公告是否准确、账号体系是否安全，仍取决于站点自身的设计与运营。

理解HTTPS时容易混淆的几点

第一，HTTPS不是“网站绝对安全”的证明。它保护连接，不验证经营承诺，也不替用户判断网页是否在诱导转账。第二，加密不代表网站无法读取提交给它的数据。用户把账号资料、密码或支付信息发送到服务器后，服务器需要解密处理，因此应谨慎填写。第三，浏览器出现证书警告时，不应为了继续访问而忽略提示；警告可能意味着域名配置错误，也可能意味着连接身份无法得到验证。

因此，HTTPS的核心含义可以概括为：HTTP通过TLS进行加密传输，并借助证书验证服务器身份、利用完整性校验发现数据变化。它是保护网络通信的重要基础，不是对网站整体可信度的保证。看到https时，既可以确认连接具备传输层保护，也应继续判断访问域名和网站展示的文字、按钮动作是否符合预期。