网络传输：使用 HTTPS 保护网站安全

什么是 HTTPS？

HTTPS（超文本传输安全协议）是一种互联网通信安全协议，它确保在用户的计算机与网站终端服务器之间传递的数据的完整性和机密性。所以，为了保护用户的隐私数据，国内信息安全服务商GDCA建议采用HTTPS来保护网站与用户之间的通讯。

 

HTTPS之所以是安全的通信协议，是因为在HTTP下加入SSL层（传输层安全协议SSL/TLS）进行保护。该协议可提供三层的防护：

• 加密：对交换数据进行加密，避免他人窥视。

这意味着用户在浏览网站的期间，当用户与网站进行数据交换的时候，第三方无法跟踪及窃取其中的数据。

• 数据完整性：保证数据交换的完整性

数据传输期间，第三方是无法通过任何工具检测或篡改已受保护的信息数据。

• 身份验证：用户可对网站的真实进行验证

可帮助用户辨明网站的真实身份，免受中间的攻击或误入钓鱼网站，建立用户对网站的网站真实性的信任。

部署HTTPS的最佳方法

使用安全的证书：为网站启用 HTTPS，必须通过安全的SSL证书。SSL证书由数字证书认证机构 (CA) 颁发。颁发证书之前，CA机构为了保障用户的安全利益，必须要对网站地址、所属机构等等相关信息进行权威验证，确保正确无误后再颁发证书。目前SSL证书的最高级别的密钥可达2048位，网站运营者可根据系统设置，选择最高级别密钥的SSL证书。选择SSL证书时，请注意以下几点：

网站运营根据自身需求向CA机构申请适合的SSL证书

目前市面上的主流SSL证书可分为三大类，DV SSL证书（域名验证型）、OV SSL证书（组织验证型）、EV SSL证书（扩展验证型）。

DV SSL证书

DV SSL证书之所以被称为域名验证型SSL证书，是因为在申请时CA机构只审核域名的所有权，只能实现传输加密，无法验证网站所有者身份，是不完整的SSL证书产品，通常只适用于产品测试、个人网站、个人博客等方面。

OV SSL证书

OV SSL证书被称为企业验证型SSL证书，是因为申请时不仅需要验证域名所有权，还需要提交企业真实身份的验证材料，无法通过真实身份验证的用户，无法获取到OV级别的SSL证书，因此其具备加密传输和身份验证的完整功能

如果网站涉及多个域名，推荐使用OV SSL证书可支持一张证书绑定一个顶级域名下的无数个通配符子域名或绑定100个多域名，是性价比很高的选择。

EV SSL证书

EV SSL证书被称为扩展验证型SSL证书，是因为申请EV SSL证书不仅需要验证域名所有权，按规定提交企业真实身份验证材料，还要求提供更加详细的企业信息（如具体营业地址等信息），并提供具有法律效力的证明文件（如律师函等）。经过EV级别验证的网站，身份真实可靠，浏览器也会对EV验证的网站进行特殊的品牌展示，比如浏览器地址栏显示绿色、直观展示网站所属单位名称等等，展现良好的品牌形象和公信力。

如果企业涉及金融、网银、电商等安全信任级别较高的应用，推荐使用最高等级的EV SSL证书。

用服务器端 301 重定向

使用服务器端 301 HTTP 重定向将用户和搜索引擎重定向至 HTTPS 网页。

确认各大浏览器能否抓取HTTPS 网页并将其收录

• 请勿通过txt 文件阻止抓取网站的HTTPS 网页。

• 请勿在HTTPS 网页中包含noindex标记。

• 使用抓取工具测试 Googlebot 能否访问HTTPS的网页。

支持 HSTS

网站部署HTTPS网站时必须要支持 HSTS。因为当用户在浏览器地址栏中输入的是HTTPS，HSTS可自动通知浏览器请求 HTTPS 页面，它还会通知 Google 在搜索结果中提供安全网址。以最大限度降低用户访问不安全网站的风险。网络运营者要启动HSTS，需要适用支持 HTTP 严格传输安全 (HSTS) 的网络服务器并启用 HSTS。

考虑使用 HSTS 预加载

当网络运营者启用了 HSTS，则可以选择支持 HSTS 预加载，进一步提高网站的安全性。要启用此功能，必须在 HSTS 标头中设置 includeSubDomains 指令。

子域名匹配的工作原理如下：若网站 www.example.com 支持含includeSubdomains的 HSTS 标头，则它将与以下域名匹配：

避免以下常见问题

在使用 TLS 保护网站安全的过程中，避免以下错误：

SSL证书是HTTP明文协议升级HTTPS加密协议的重要渠道，是网络安全传输的加密到通道。关于更多SSL证书的资讯，请关注GDCA（数安时代）。GDCA致力于网络信息安全，已通过WebTrust 的国际认证，是全球可信任的证书签发机构。GDCA专业技术团队将根据用户具体情况为其提供最优的产品选择建议，并针对不同的应用或服务器要求提供专业对应的HTTPS解决方案。