最近幾天有同學(xué)說(shuō)要不要加https,有的說(shuō)需要加有的說(shuō)不需要要加。那么艾洋的觀點(diǎn)是:https能加就加,不能加也沒大礙。

1.https免費(fèi)的,為什么不用。說(shuō)明一下,免費(fèi)的和收費(fèi)的都有相同的加密功能,不同的是申請(qǐng)人身份驗(yàn)證級(jí)別不同,對(duì)應(yīng)的保險(xiǎn)也不同,瀏覽器標(biāo)志也不同。免費(fèi)的只驗(yàn)證域名而已,但是有著同樣的加密安全性。我們主要用的就是加密安全。

2.https并不會(huì)很影響性能。https握手階段用的是rsa非對(duì)稱加密,這是影響性能的原因。但是握手后,雙方協(xié)商出一個(gè)對(duì)稱秘鑰,用aes加密方式,和路由器的加密算法一樣,效率非常高。握手階段只能用非對(duì)稱加密,因?yàn)橛袀€(gè)私鑰需要隱藏。rsa之所以安全是因?yàn)橐粋€(gè)很大的數(shù),因式分解成兩個(gè)數(shù)相乘的形式很困難這個(gè)原理。

3.防劫持是主要原因。前幾天在論壇里看到有人說(shuō)關(guān)于網(wǎng)站全部正規(guī)內(nèi)容,被提示違規(guī)之類的,并發(fā)了網(wǎng)址。我進(jìn)去看了一下,第一次訪問(wèn)跳轉(zhuǎn)到廣告頁(yè)面,關(guān)閉第二次正常打開。很明顯的運(yùn)營(yíng)商劫持。https則劫持不了。

4.保證數(shù)據(jù)的完整性。由于加密傳輸,中間人獲取不了數(shù)據(jù),也篡改不了數(shù)據(jù)。有的地方運(yùn)營(yíng)商是可以插入廣告的,或者用正則匹配到廣告代碼,換成自己的廣告。https則不會(huì)發(fā)生這種情況,保證用戶看到的內(nèi)容就是你發(fā)布的內(nèi)容。

5.部署很簡(jiǎn)單,方法搜索一下就行。

6.說(shuō)下cdn,cdn其實(shí)也很重要,很多事在cdn做就行。比如部署https,部署ipv6等。最重要的是隱藏原站防攻擊。可以把原站的80和443改掉,正常不能訪問(wèn),cdn回源的時(shí)候帶上端口號(hào),避免被掃到,非常安全。原站的配置也不用很高,百分之八九十的壓力都在cdn上,并且ip地址和節(jié)點(diǎn)眾多,很少故障。原站維護(hù)重啟等,都能保證正常訪問(wèn)。

舉例:

從用戶視角出發(fā),普通用戶被營(yíng)銷網(wǎng)站、高仿網(wǎng)站糊弄怕了,不帶https,谷歌內(nèi)核的瀏覽器就顯示“不安全”,普通用戶可能不敢點(diǎn)開看,或者訪問(wèn)深度下降,單單這一點(diǎn),得安裝了。