http

HTTP（HyperText Transfer Protocol）是一种用于传输超文本的应用层协议，是互联网上最早和最基础的通信协议之一。它定义了客户端（如浏览器）与服务器之间如何请求和传输网页内容。

然而，HTTP 以明文方式传输数据，这意味着在通信过程中，第三方可以轻易截获、查看甚至篡改传输的内容，存在严重的安全风险。例如：

• 用户登录时输入的用户名和密码可能被窃取；
• 网站内容可能被中间人篡改，插入广告或恶意代码；
• 用户的浏览行为可被追踪。

为什么应避免使用纯 HTTP？

根据行业标准和现代浏览器的安全策略，纯 HTTP 已不再被视为安全的通信方式。以下是主要原因：

1. 浏览器标记为“不安全”

自 2018 年 7 月 Chrome 68 发布以来，Google Chrome 将所有 HTTP 网站标记为“不安全”。其他主流浏览器（如 Firefox、Edge）也采取了相同措施。这会直接影响用户对网站的信任度。

参考：Chrome 将所有 HTTP 网站标记为“不安全”

2. 不符合 PCI DSS 合规要求

支付卡行业数据安全标准（PCI DSS）要求所有处理支付信息的网站必须使用安全的加密传输协议（如 TLS 1.2 或更高版本），禁用不安全的 SSL/TLS 版本。继续使用 HTTP 或弱加密协议将导致无法通过合规审计。

3. 无法使用现代 Web 功能

许多现代 Web API（如地理位置、推送通知、服务工作线程等）仅在 HTTPS 环境下可用。这意味着使用 HTTP 的网站将失去这些增强用户体验的关键功能。

推荐解决方案：升级到 HTTPS

HTTPS = HTTP + TLS/SSL 加密。通过部署 SSL/TLS 证书，网站可以实现加密通信、身份验证和数据完整性保护。

如何启用 HTTPS？

1. 获取一个由受信任 CA 颁发的 SSL/TLS 证书；
2. 在服务器上安装并配置证书；
3. 将网站重定向从 HTTP 到 HTTPS；
4. 确保资源（图片、脚本等）使用 HTTPS 加载，避免混合内容警告。

更多详情请参阅：如何为网站启用 HTTPS 安全连接？

推荐产品（支持 HTTPS 部署）

以下为不同应用场景推荐的 SSL 证书产品，均来自主流 CA，支持 TLS 1.2+/TLS 1.3，满足安全合规需求：

所有产品均可在 TopSSL 平台申请购买，支持快速部署与合规配置。

总结：HTTP 因其固有的安全缺陷已逐渐被淘汰。为保障用户隐私、提升网站可信度并兼容现代技术，强烈建议所有网站尽快迁移到 HTTPS。