HTTPS 和 TLS 加密：小锁图标到底保护了什么

打开网页时，地址栏左边的小锁表示这个网站用了 HTTPS。它到底保护了什么、挡得住谁、挡不住什么，很多人并不清楚。

HTTP 和 HTTPS 的区别

• HTTP：浏览器和网站之间传输网页的协议，内容是明文的，路过的任何一个环节都能看到、甚至篡改。
• HTTPS：在 HTTP 外面加了一层 TLS 加密，内容在传输过程中被加密，只有你的浏览器和网站能解开。

现在主流网站基本都已经是 HTTPS，浏览器也会对 HTTP 网站标注「不安全」。

TLS 握手：先认人，再定暗号

建立 HTTPS 连接时，浏览器和网站会先进行一次 TLS 握手，主要做两件事：

1. 验证网站身份：网站出示自己的证书，证书由受信任的机构签发，写明了这个证书属于哪个域名。浏览器检查证书是否有效、是否和你访问的域名一致。
2. 协商密钥：双方用密码学方法商量出一个只有彼此知道的临时密钥，之后的数据都用它加密。即使有人全程监听，也算不出这个密钥。

握手完成后，正式传输网页内容。TLS 1.3 让握手更快，通常只需要一次往返。

证书的作用：防止「冒充」

如果没有证书，攻击者可以假装成网站，在中间把你的数据截下来（中间人攻击）。证书就是网站的「身份证」：

• 由受信任的证书机构签发，浏览器内置了这些机构的名单；
• 写明了证书对应的域名和有效期；
• 伪造证书会被浏览器识别，并弹出「连接不安全」的警告。

所以看到证书警告时，不要随便点「继续访问」，尤其是要输入密码的网站。

加密能挡住什么

HTTPS 能防止网络中间的环节（公共 Wi-Fi、运营商、路过的服务器）：

• 看到你浏览的具体页面内容；
• 看到你输入的密码、聊天内容、表单数据；
• 篡改网页内容，比如插入广告或恶意代码。

加密挡不住什么

HTTPS 并不是隐身术，下面这些信息中间环节仍然可能看到：

其中「域名」这一项，正在被新的技术（如加密 DNS、ECH）逐步保护起来。DNS 查询为什么会泄露你访问的网站，见 IP 地址、域名和 DNS。

和代理有什么关系

使用代理时，你的数据会先发给代理服务器，再由它转发给网站。如果你访问的是 HTTPS 网站：

• 代理服务器能看到你连接了哪个网站、什么时间、传了多少数据；
• 但看不到页面内容和你输入的密码，因为它们在你的浏览器和网站之间是端到端加密的。

这也是为什么「重要账号开启两步验证、只在 HTTPS 网站输入密码」是很实用的安全习惯。代理的完整工作过程，见 代理是怎么工作的。

总结

• HTTPS = HTTP + TLS 加密，小锁表示连接加密、证书与域名匹配。
• TLS 握手负责验证身份和协商密钥，证书防止冒充。
• 加密保护内容，但不隐藏你连接了哪里、什么时候、传了多少。
• 有小锁不等于网站可信，钓鱼网站也能有证书，要核对域名。