https://ps5.mediatagtw.com/article/kena:bridgeofspirits詳細懶人包
（3）身份校验安全性：保证数据到达用户期望的目的地。 就像我们邮寄包裹时，虽然是一个封装好的未掉包的包裹，但必须确定这个包裹不会送错地方，通过身份校验来确保送对了地方。 （2）数据完整性：及时发现被第三方篡改的传输内容。 就像快递员虽然不知道包裹里装了什么东西，但他有可能中途掉包，数据完整性就是指如果被掉包，我们能轻松发现并拒收。 （1）数据保密性：保证数据内容在传输的过程中不会被第三方查看。 就像快递员传递包裹一样，都进行了封装，别人无法获知里面装了什么。
HTTP cookie（web cookie、browser cookie）為伺服器傳送予使用者瀏覽器的一個小片段資料。 瀏覽器可能儲存並於下一次請求回傳 cookie 至相同的伺服器。 Cookie 通常被用來保持使用者的登入狀態——如果兩次請求都來自相同的瀏覽器。 舉例來說，它記住了無狀態（stateless） (en-US)HTTP 協議的有狀態資訊。 不過是多了一個「Secure」，究竟會讓這2種傳輸協定產生怎麼樣的差異呢？
https://ps5.mediatagtw.com/article/kena:bridgeofspirits: 協定層
相信過去大家都看過不少相關新聞，某某公司/電商網站被駭客入侵，竊取了會員資料/帳戶資料，之後轉賣給詐騙集團或推銷公司等利用。 這就是因為HTTP雖然可以傳輸資料，卻沒有完善的安全機制，讓有心人士有機可趁。 How Browsers Work 關於瀏覽器內部實作及 HTTP 通訊協定請求流程的一篇非常詳盡的文章。 收到一個 HTTP 請求時，伺服器可以傳送一個 Set-Cookie (en-US) 的標頭和回應。 Cookie 通常存於瀏覽器中，並隨著請求被放在Cookie HTTP 標頭內，傳給同個伺服器。
當連接到一個提供無效憑證的網站時，較舊的瀏覽器會使用一個對話方塊詢問使用者是否繼續，而較新的瀏覽器會在整個窗口中顯示警告。 （1） 从 HTTP 转向 HTTPS 的应用改造要点：HTTP 页面分析评估信息数据安全等级；WEB 页面访问改造；站点证书申请和部署；启用 HTTPS 协议支持，增加 TCP-443 端口，对外服务。 ② 服务器接到请求后，给予相应的响应信息，其格式为一个状态行，包括信息的协议版本号、一个成功或错误的代码，后边是 MIME 信息包括服务器信息、实体信息和可能的内容。 但是这个HTTP 1.1版本存在一个很大的问题-明文传输（Plaintext/Clear Text），这个问题在互联网时代的今天是致命的，一旦数据在公共网络中被第三方截获，其通信内容轻而易举地就被窃取了。 這樣的標示除了會影響使用者對於網站的信任度之外，更會影響網站在SEO的排名表現。
https://ps5.mediatagtw.com/article/kena:bridgeofspirits: 瀏覽器實作
這個憑證會被放置在瀏覽器中，並在每次連接到伺服器時由伺服器檢查。 HTTPS 主要由两部分组成：HTTP + SSL / TLS，也就是在 HTTP 上又加了一层处理加密信息的模块。 服务端和客户端的信息传输都会通过 TLS 进行加密，所以传输的数据都是加密后的数据。 可以看到，鉴于电子商务等安全上的需求，HTTPS对比HTTP，在安全方面已经取得了极大的增强。 总结来说，HTTPS的改进点在于创造性的使用了非对称加密算法，在不安全的网路上，安全的传输了用来进行对称加密的密钥，综合利用了非对称加密的安全性和对称加密的快速性。 失败则关闭连接，认证成功则从客户端证书中获得客户端的公钥，一般为1024位或者 2048位。
在2000年代末至2010年代初，HTTPS開始廣泛使用，以確保各類型的網頁真實，保護帳戶和保持使用者通信，身分和網路瀏覽的私密性。 在整个SSL握手中,都有一个唯一的随机数来标记SSL握手。 这样防止了攻击者嗅探整个登录过程，获取到加密的登录数据之后，不对数据进行解密, 而直接重传登录数据包的攻击手法。
https://ps5.mediatagtw.com/article/kena:bridgeofspirits: 主要作用
除了少數特例外，此政策主要關於指定來源伺服器和腳本程式的端點（endpoints）。 網景在1994年建立了HTTPS，並應用在網景領航員瀏覽器中。 最初，HTTPS是與SSL一起使用的；在SSL逐漸演變到TLS時，HTTPS也由在2000年五月公布的RFC 2818正式確定下來。
HTTPS https://ps5.mediatagtw.com/article/kena:bridgeofspirits 存在不同于 HTTP 的默认端口及一个加密/身份验证层（在 HTTP与 TCP 之间）。 它被广泛用于万维网上安全敏感的通讯，例如交易支付等方面。 因為TLS在HTTP之下工作，對上層協定一無所知，所以TLS伺服器只能為一個IP位址/埠組合提供一個憑證。 這就意味著在大部分情況下，使用HTTPS的同時支援基於名字的虛擬主機是不很現實的。
https://ps5.mediatagtw.com/article/kena:bridgeofspirits: JavaScript 使用 Document.cookie 存取
在2018年時，Google更做了一次大幅改版，要求所有在他們搜尋結果底下的網站都「建議」使用HTTPS，如果沒有使用的話，將會跳出警告標語，讓使用者看到之後為之卻步，不敢使用你的網站。 讓我們舉個生活化的例子，假如助理要上傳文件到雲端給主管審核，流程便會是：助理上傳文件(發出請求)→經過TCP傳送資料到伺服器→抵達網路→主管開啟或下載檢視。 HTTP 狀態回應碼 HTTP 狀態碼用來表示特定的 HTTP 請求是否已成功完成。 回應分為五類：資訊回應、成功回應、重定向、用戶端錯誤、以及伺服器錯誤。 HTTPS報文中的任何東西都被加密，包括所有報頭和荷載。 除了可能的選擇密文攻擊（參見局限小節）之外，一個攻擊者所能知道的只有在兩者之間有一連接這一事實。
- 除了少數特例外，此政策主要關於指定來源伺服器和腳本程式的端點（endpoints）。
- 但是HTTPS在剛推出的時候有個缺點，就是因為加密需要運算的資料較多，導致網路速度變得很慢。
- 而網址升級成HTTPS後，同樣要再次提交Sitemap，這樣新網站才能被找到。
- 随着云计算技术的发展，数据中心部署的服务器使用成本在规模增加后逐步下降，相对于用户访问的安全提升，其投入成本已经下降到可接受程度。
可以註明 Cookie 的有效或終止時間，超過後 Cookie 將不再發送。 此外，也可以限制 Cookie 不傳送到特定的網域或路徑。 通常在網站完成後，大家都會跟Google提交Sitemap，讓網頁能見度變高。 而網址升級成HTTPS後，同樣要再次提交Sitemap，這樣新網站才能被找到。
https://ps5.mediatagtw.com/article/kena:bridgeofspirits: 建立 cookies
簡單來說，HTTPS是使用者透過電腦傳輸資料到伺服器時的一道資安防護罩；SSL則是為了防止資料傳輸過程被有心人士破解或修改的工具。 但是HTTPS在剛推出的時候有個缺點，就是因為加密需要運算的資料較多，導致網路速度變得很慢。 因此後來才又發明金鑰功能，讓網路資料在進行傳輸時既安全、速度也不會太慢。 有鑑於HTTP傳輸協定發生太多資料被竊取的案例，因此後來衍生出HTTPS，全名為「超文本傳輸安全協定 」。 HTTPS基本上同樣是資料傳輸的工具，但在傳輸過程中是使用SSL或TLS，多了一道加密的手續，如此一來就算有心人士要竊取，看到的也只是加密符號或一堆亂碼而已。
經過之前「網域SEO全面解析」的文章介紹後，相信大家對於網域的構成都有了基礎的認識，而HTTP與HTTPS通常會出現在網址的最前端，用以告訴使用者這個網站所使用的資訊傳遞方式為何。 自2018年起，Firefox及Chromium（以及Google Chrome、Microsoft Edge）調整了其顯示網站域名及其安全程度的方式，包括不再突出顯示HTTPS協定下的網頁及將非HTTPS協定下的網頁標註為不安全。 https://ps5.mediatagtw.com/article/kena:bridgeofspirits 電子前線基金會曾經建議「在理想的世界中，任何網路請求都能預設為HTTPS的。」該基金會也曾製作了Firefox擴充組件來推廣這一建議。
https://ps5.mediatagtw.com/article/kena:bridgeofspirits: 主機服務介紹
在TLS版本1.2中，伺服器端傳送的憑證以明文傳輸，因此中國大陸的防火長城可以對特定網站按照匹配的黑名單憑證，檢測到特定憑證即執行TCP重設攻擊，從而導致TLS連接無法建立。 TLS版本1.3中伺服器端憑證被加密，然而伺服器名稱指示仍未被加密，並成為防火長城檢測的新手段。 部署 https://ps5.mediatagtw.com/article/kena:bridgeofspirits HTTPS 后，因为 HTTPS 协议的工作要增加额外的计算资源消耗，例如 SSL 协议加密算法和 SSL 交互次数将占用一定的计算资源和服务器成本。
- HTTPS也可被用作客戶端認證手段來將一些訊息限制給合法的使用者。
- 讓我們舉個生活化的例子，假如助理要上傳文件到雲端給主管審核，流程便會是：助理上傳文件(發出請求)→經過TCP傳送資料到伺服器→抵達網路→主管開啟或下載檢視。
- How Browsers Work 關於瀏覽器內部實作及 HTTP 通訊協定請求流程的一篇非常詳盡的文章。
- 瀏覽器通常都預裝了憑證頒發機構的憑證，所以他們可以驗證該簽章。
- 但是隨著網路的功能越來越多元，我們有時候會需要在網路上傳輸密碼等極為重要的資訊，若持續使用HTTP就有可能在傳輸的過程中被駭客竊取或是竄改。
Google為什麼要鼓勵大家將HTTP轉換為HTTPS？ 跟著本文的介紹，一起瞭解HTTP與HTTPS，並且透過htaccess轉址教學，讓你的網站安全有保障。 HTTPS也可被用作客戶端認證手段來將一些訊息限制給合法的使用者。 要做到這樣，管理員通常會給每個使用者建立憑證（通常包含了使用者的名字和電子郵件位址）。
https://ps5.mediatagtw.com/article/kena:bridgeofspirits: 瀏覽器實作
過去我們可能看不太出來，但幾年前各大瀏覽器開始做改版。 在某些情形中，被加密資源的URL可僅透過截獲請求和回應的大小推得，這就可使攻擊者同時知道明文（公開的靜態內容）和密文（被加密過的明文），從而使選擇密文攻擊成為可能。 互動策略更為安全，但需要使用者在他們的瀏覽器中安裝個人的憑證來進行認證。 歷史上，HTTPS連接經常用於全球資訊網上的交易支付和企業訊息系統中敏感訊息的傳輸。
一種叫伺服器名稱指示（SNI）的方案透過在加密連接建立前向伺服器傳送主機名解決了這一問題。 Firefox 2、Opera 8和執行在Windows Vista的Internet Explorer 7都加入了對SNI的支援。 HTTPS的主要作用是在不安全的網路上建立一個安全信道，並可在使用適當的加密套件和伺服器憑證可被驗證且可被信任時，對竊聽和中間人攻擊提供合理的防護。
https://ps5.mediatagtw.com/article/kena:bridgeofspirits: 建立 cookies
這就得從早期網路的使用目的來看，網際網路在初期的使用目的僅為一個部門內的資料傳輸，因此HTTP作為較早期的傳輸協定，為了求資料傳輸的快速，自然就會省略「加密與解密」的步驟，讓資料以明文傳輸。 但是隨著網路的功能越來越多元，我們有時候會需要在網路上傳輸密碼等極為重要的資訊，若持續使用HTTP就有可能在傳輸的過程中被駭客竊取或是竄改。 憑證可在其過期前被吊銷，通常情況是該憑證的私鑰已經失密。 一個組織也可能有自己的憑證頒發機構，尤其是當設定瀏覽器來存取他們自己的網站時（如，執行在公司或學校區域網路內的網站）。 要使一網路伺服器準備好接受HTTPS連接，管理員必須建立一數位憑證，並交由憑證頒發機構簽章以使瀏覽器接受。
HTTP跟HTTPS近年來在網路界中討論度非常高的話題，不只是工程師、網路管理者需要具備的基本常識，就連使用者也要知道兩者究竟有什麼差異，因為這牽涉到資訊安全和隱私的部分。 超文本傳輸協定 是一種用來傳輸超媒體文件 (像是 HTML 文件) 的應用層協定，被設計來讓瀏覽器和伺服器進行溝通，但也可做其他用途。 HTTP 遵循標準客戶端—伺服器模式，由客戶端連線以發送請求，然後等待接收回應。 HTTP 是一種無狀態協定，意思是伺服器不會保存任兩個請求間的任何資料 (狀態)。 儘管作為 TCP/IP 的應用層，HTTP 亦可應用於其他可靠的傳輸層 (例如 UDP)，只要不會無聲無息地遺失訊息即可。
https://ps5.mediatagtw.com/article/kena:bridgeofspirits: 協定層
HTTP协议是为了传输网页超文本（文本、图像、多媒体资源），以及规范客户端和服务器端之间互相请求资源的方法的应用层协议。 在1989年最早推出了HTTP 0.9版本，而1999年公布的HTTP https://ps5.mediatagtw.com/article/kena:bridgeofspirits 1.1是到目前（2020年）仍旧广泛使用的版本（引自《HTTP协议几个版本的比较》）。 雖然HTTPS在資料傳輸上比較安全，但並不是每個網站都需要使用者輸入資料，為什麼現今會掀起一股HTTP轉換HTTPS的浪潮呢？
建立连接后，客户机发送一个请求给服务器，请求方式的格式为：统一资源标识符（URL）、协议版本号，后边是 MIME 信息包括请求修饰符、客户机信息和许可内容。 HTTPS （全称：Hypertext Transfer Protocol Secure），是以安全为目标的 HTTP 通道，在HTTP的基础上通过传输加密和身份认证保证了传输过程的安全性。 HTTPS 在HTTP 的基础下加入SSL，HTTPS 的安全基础是 SSL，因此加密的详细内容就需要 SSL。
https://ps5.mediatagtw.com/article/kena:bridgeofspirits: JavaScript 使用 Document.cookie 存取
HTTPS開發的主要目的，是提供對網站伺服器的身分認證，保護交換資料的隱私與完整性。 這個協定由網景公司（Netscape）在1994年首次提出，隨後擴展到網際網路上。 关于 HTTP的明文数据传输, 攻击者最常用的攻击手法就是网络嗅探, 试图从传输过程当中分析出敏感的数据, 例如管理员对 Web 程序后台的登录过程等等, 从而获取网站管理权限, 进而渗透到整个服务器的权限。 即使无法获取到后台登录信息, 攻击者也可以从网络中获取普通用户的隐秘信息, 包括手机号码, 身份证号码, 信用卡号等重要资料, 导致严重的安全事故。