HTTPS（HyperText Transfer Protocol Secure，超文本传输安全协议）是HTTP的安全版本，通过在HTTP层和TCP层之间添加SSL/TLS协议，为Web通信提供加密、认证和完整性保护。本文将深入解析HTTPS的工作原理、TLS握手过程、证书体系以及最佳实践。
HTTPS的核心是SSL/TLS协议。SSL（Secure Sockets Layer）是1994年由Netscape开发的原始安全协议，后被IETF接管并更名为TLS（Transport Layer Security）。目前主流版本是TLS 1.2和TLS 1.3，TLS 1.0和1.1已被广泛弃用。
HTTPS默认使用443端口，而HTTP使用80端口。URL以https://开头的网站表示使用HTTPS协议。
HTTPS通过三层机制保障安全：
graph TB
subgraph 应用层["应用层 HTTP"]
H[浏览器]
end
subgraph 安全层["TLS/SSL 安全层"]
TLS[TLS 1.2/1.3]
E[加密 🔐]
A[认证 ✓]
I[完整性 ✓]
end
subgraph 传输层["传输层 TCP"]
TCP[TCP 443端口]
end
H --> TLS
TLS --> E
TLS --> A
TLS --> I
E --> TCP
A --> TCP
I --> TCP
style 安全层 fill:#fff3e0
图1：HTTPS 协议栈中 TLS 所处位置与安全机制
加密确保只有通信双方能够理解传输内容，防止中间人窃听。HTTPS使用对称加密和非对称加密结合的方式：
实际使用中，HTTPS用非对称加密来安全地交换对称密钥，然后用对称加密传输实际数据。
认证确保通信对方是真实可信的，防止冒充。HTTPS通过数字证书实现认证：
完整性确保数据在传输过程中没有被篡改。HTTPS使用消息认证码（MAC）和哈希函数：
TLS握手是HTTPS建立安全连接的关键步骤，TLS 1.2握手需要2-RTT（往返时间）：
sequenceDiagram
participant B as 浏览器（客户端）
participant S as 服务器
rect rgb(230, 245, 255)
Note over B,S: 第1次往返 (RTT 1)
B->>S: Client Hello
TLS版本、密码套件、Random1
S->>B: Server Hello
选定密码套件、Random2
S->>B: Certificate
服务器证书链
S->>B: Server Key Exchange
（ECDHE参数）
S->>B: Server Hello Done
end
rect rgb(255, 245, 230)
Note over B,S: 第2次往返 (RTT 2)
B->>S: Client Key Exchange
（ECDHE公钥）
B->>S: Change Cipher Spec
B->>S: Finished
握手消息MAC
S->>B: Change Cipher Spec
S->>B: Finished
握手消息MAC
end
Note over B,S: 双方计算出主密钥 🔑
B->>S: 应用数据 (加密) →
图2：TLS 1.2 握手时序图（2-RTT）
graph TB
subgraph 证书链["证书链验证"]
ROOT["根证书 (Root CA)
浏览器/系统内置"]
INTER["中间证书 (Intermediate CA)
由根CA签发"]
SERVER["服务器证书 (Server Certificate)
由中间CA签发"]
end
BROWSE["浏览器"] --> SERVER
SERVER -->|验证签名| INTER
INTER -->|验证签名| ROOT
ROOT -.->|"🔒 信任锚"| BROWSE
style ROOT fill:#e8f5e9
style INTER fill:#fff3e0
style SERVER fill:#e3f2fd
图3：TLS 证书链信任模型与验证流程
TLS 1.3于2018年发布，相比TLS 1.2有重大改进：
graph LR
subgraph TLS12["TLS 1.2 握手 (2-RTT)"]
direction LR
C1["Client Hello"] --> S1["Server Hello"]
S1 --> C2["Certificate
Server Key Exch"]
C2 --> S2["Client Key Exch
Change Cipher Spec
Finished"]
S2 --> D["加密数据传输"]
end
subgraph TLS13["TLS 1.3 握手 (1-RTT)"]
direction LR
C3["Client Hello
密钥共享"] --> S3["Server Hello
Certificate
Finished"]
S3 --> D2["加密数据传输"]
end
style TLS12 fill:#fff3e0
style TLS13 fill:#e8f5e9
图4：TLS 1.2 vs TLS 1.3 握手流程对比
HTTPS的信任基础是PKI（公钥基础设施）和数字证书。
按验证级别分类：
按覆盖范围分类：
DV级别证书可以免费获取，最流行的是Let's Encrypt，证书有效期90天，支持自动化续期。
为确保HTTPS部署的安全性和性能，建议遵循以下最佳实践：
为了更好地理解和测试HTTPS，你可以使用我们的在线工具：
除了HTTPS，我们还提供了其他网络协议的详细教程：
HTTPS是现代Web安全的基石，通过加密、认证和完整性保护，确保用户数据安全。TLS 1.3的推出进一步提升了性能和安全性。
部署HTTPS不仅是为了安全，也是为了SEO（搜索引擎优先索引HTTPS网站）和用户信任。建议所有网站都启用HTTPS，并遵循最佳实践确保安全配置。