HTTP与HTTPS:为什么你该为你的网站申请使用SSL证书?

罗格罗格 技术文档 6个月前 (2018-07-03) 1394 次浏览 13 次评论

如果勤看网站日志记录,我想每个站长的网站应该都有无数次的被扫描攻击记录,而作为互联网用户也时刻都有网络安全攻击的威胁。可以说现在网络安全犯罪分子变得越来越聪明了,他们的工作越来越好,以至于它们可以完成诸如复制全球品牌应用程序之类的复杂任务。他们可怕的专业知识甚至推动了像苹果,谷歌微软等全球科技巨头自己承担了保护互联网的任务。

因此,你有必要给自己的网站申请SSL(安全套接字层)证书建立与你的网站的安全连接。SSL证书在浏览器地址栏中的站点URL(例如https://www.example.com)旁边启用绿色挂锁图标(这也就是大家常说的小绿锁)和安全超文本传输​​协议(HTTPS),这些安全指标证明了网站对浏览器的身份,绿色挂锁图标和绿色地址栏被称为信任的象征,你可以通过单击“挂锁图标”来检查证书详细信息。因此,在线访问者可以向你的网站发送信息或通过安全连接访问该网站。

关于SSL证书的简要说明

一个SSL证书包含两个密钥:分别是公钥和私钥,这些加密密钥分别用于在客户端 - 服务器之间发送或接收数据的加密和解密。SSL证书详细信息“主题”,其中包含证书所有者名称,域名,位置等信息。

http vs https

要使用SSL证书加密网站,网站所有者必须联系证书颁发机构。证书颁发机构是签发SSL证书的受信任第三方实体,通常有免费SSL证书和收费SSL证书。

如果您还没有域名SSL证书,可以参考教程:
沃通免费SSL证书申请Let’s Encrypt免费SSL证书申请免费的SSL证书。

注:现在国内的开发环境管理套件宝塔系统已经集成了SSL证书申请管理功能,用户在网站管理 - 设置 - SSL即可申请或者配置使用自己已经申请的SSL证书,除宝塔系统以外目前使用比较多的军哥LNMP目前也集成了SSL申请功能,可以直接通过命令 lnmp ssl add 来给自己的网站申请证书功能。

各种类型的SSL证书

证书颁发机构验证申请SSL证书的组织的身份和域名的所有权。主要有三种类型的SSL证书,提供不同级别的安全性或加密,如域验证(DV),组织验证(OV)或扩展验证(EV),如下所述:

域验证证书:顾名思义,此类证书仅对域所有权进行身份验证,并使用自动域验证方法立即颁发。DV SSL最适合小型网站,博客和单页网站。

https示例

组织验证证书:组织验证证书由希望提供组织名称标识的企业使用。OV证书包含大多数以业务为中心的用户有兴趣知道的商业实体名称和地址详细信息等信息。

扩展验证证书: EV SSL证书将在一周内通过严格的域名所有权验证方法以及组织的存在发布。在服务器上安装EV SSL后,绿色地址栏和组织名称将显示在浏览器地址栏中。

具体的你可以根据业务需求和要保护的域选择SSL证书

单域证书:如果要以低成本保护单个域,请获取域验证SSL证书。你可以使用256位加密在Web浏览器和Web服务器之间建立安全连接。

通配符SSL证书:如果要保护主域及其许多子域,请获取通配符SSL证书。你需要在通用名称中指定星号(*)字符以保护它是无限数量的第一级子域。

多域SSL证书(MDC):如果要保护多个域,则多域(SAN)SSL非常适合。单SAN SSL证书默认最多2个域保护。你需要购买额外的SAN许可证才能保护其他域名。

统一通信证书(UCC):多域(UCC)SSL证书允许用户在单个SSL证书中保护多达99个主题备用名称(SAN)。UCC SSL专为Microsoft交换和办公通信服务器保护而设计。

使用SSL证书确保网站安全

SSL证书可为网站带来的一些好处包括:

提高安全性:

SSL证书赋予你的网站加密级别安全性。加密可确保你的站点与用户浏览器之间共享的信息不会被任何其他第三方拦截,窃取甚至窃听。这里提到拦截我想大家深有体会,大多数的非HTTPS的网站经常会出现被运营商劫持的现象,典型的就是网站底部被嵌入的浮层广告。

提升用户信任度:

自从Chrome升级以后,HTTPS基本上已经成为公认的安全标志,并且Chrome浏览器将在后面版本对没有使用HTTPS的网站地址栏提示不安全。所以为你的网站新增小绿锁是必须要做的,它有助于提升客户对网站的信任,只有站点的真正所有者才能在域名中购买SSL证书这一事实也使其作为一种实用的安全措施更加可信。

提供SEO优势:

谷歌曾多次表明将SSL证书纳为SEO排名的关键因素。事实上,就像谷歌浏览器的用户已经看到网站被标记为“ 安全 ”或“不安全”。这种安全标签本身对于对其在线安全持谨慎态度的用户就具有威慑作用,拥有SSL证书可以帮助克服被标记为“不安全”网站的麻烦。

最后的话

今天各种网站都需要SSL证书,拥有SSL证书带来了一些好处,其中一些我们已经在上面描述过了。同样作为一名站长,我建议你不要错过这些让你网站能够获的更好的SEO排名的操作,因为为你的博客引入SSL并不难,如果你和我一样是使用的Typecho博客,下面的文章也许对你有帮助:

Typecho 全站启用 HTTPS 教程
Nginx 环境怎样部署SSL证书?
Nginx 强制 https 设置 HTTP 301 重定向到 HTTPS

免费的SSL证书会对网站速度稍微有点影响,因为HTTPS的原理是在传统HTTP基础上增加了网络中的握手次数来达到安全认证,整个过程通常在100ms以下几乎可以忽略不计,这个算是SSL目前唯一的缺点了,如果有条件建议购买付费SSL证书。

你也许对下面文章感兴趣:
SSR开启Google的BBR内核脚本加速TCP(附BBR一键安装脚本)

  • 本文作者:罗格
  • 本文链接:https://www.moidea.info/archives/adsense-making-money-logic-and-making-money-mentality.html
  • 版权声明:本博客所有文章除特别声明外,均采用 CC BY-NC-SA 4.0 许可协议,转载请注明出处!
  • 客官,说两句吧!

    已有 13 条评论

    1. 学习笔记Blog

      站点HTTPS化是未来的趋势,也是网站提供自我保护的一个重要手段,这也是为啥谷歌Chrome、Firefox这类浏览器逐渐开始强制HTTPS化的主要原因!很多站长们“曲解”认为HTTPS是保护用户的,这是很片面的!

      1. 罗格
        罗格 管理员 收录情况
        回复

        @学习笔记Blog 是的,HTTPS是大势所趋,其实我碰到的站长关注HTTPS保护这个帮助的并不多,大家大多关注搜索引擎收录和HTTPS的握手时间问题,关于HTTPS不过前段时间我看有几篇分析GFW的文章提出,貌似HTTPS的网站更容易被监控,这点不知道是真是假?

        1. 学习笔记Blog

          @罗格 关于握手时间的问题,其实最新的TLSv1.3已经很好的解决了,目前我就在用,所谓握手时间影响速度之说,完全是个“悖论”。至于说“HTTPS的网站更容易被监控”这个其实已经超出技术范畴了,我个人观点是真相监控你你能躲得掉嘛?谷歌试过,结果呢?所以这根本就不是个技术问题,再说你只要不违法为啥要担心被监控呢?苍蝇不叮无缝的蛋!

    2. Lycra Fabrics Jo

      现在阿里上注册的域名都给一个免费的SSL,直接使用美滋滋,以后绝对主流。

      1. 罗格
        罗格 管理员 收录情况
        回复

        @Lycra Fabrics Jo 现在使用免费的Let's Encrypt颁发的证书也是挺多的,毕竟Chrome已经放话在新版里对非HTTPS的站标识不安全,所以SSL这个挺重要的

    3. 芭比

      不会弄,而且我的虚拟主机也不支持

      1. 李峰博客

        @芭比 大势所趋,以后估计所以网站都得加上。。

      2. 李峰博客

        @芭比 加个CDN也可以支持SSL的比如腾讯CDN应该都支持的

      3. 罗格
        罗格 管理员 收录情况
        回复

        @芭比 嗯,这个确实是,目前虚拟主机好像是没法支持https,可以考虑换成云服务器了,毕竟https能防止广告劫持之类的,当然自己博客流量小,其实作用也不大。

    4. B站

      受用,正在准备申请安装

      1. 罗格
        罗格 管理员 收录情况
        回复

        @B站 能帮助到你们才是真的好

    5. 清秋暖冬

      在浏览器上打开博客以后运营商劫持太恶心,就申请了个腾讯的免费证书用

      1. 罗格
        罗格 管理员 收录情况
        回复

        @清秋暖冬 这就是为什么中国比国外推行SSL的快,因为国内劫持太严重啦,我现在用的都是Let’s Encrypt提供的免费证书,腾讯的免费SSL证书应该需要备案才能使用吧?