你有没有注意到，现在打开大多数网站时，浏览器地址栏前面都会有一个小锁图标？点开一看，写着“连接是安全的”。这背后其实就是 HTTPS 在起作用。而那个小锁，意味着你和网站之间的通信被加密了。
数据裸奔有多危险
想象一下你在咖啡馆连着免费Wi-Fi，登录邮箱查信，或者在购物网站输入银行卡信息。如果这个网站还在用 HTTP，那你的密码、手机号、付款信息，都是以明文形式在网络上传输。就像寄一封没封口的信，路过的人想看就能看到。
黑客只需要一个简单的工具，就能在同一个局域网里截取这些数据。以前有人做过实验，在公共网络环境下，几分钟就能抓到大量未加密的登录请求。而 HTTPS 就是给这封信套了个信封，还上了锁，别人就算截获也看不懂。
HTTPS 不只是加密
很多人以为 HTTPS 只是防止偷看，其实它还有两个关键作用：验证身份和保证完整性。
验证身份指的是，你访问的“银行官网”真的是银行的服务器，而不是某个伪装成银行的钓鱼网站。HTTPS 通过数字证书让浏览器确认对方身份，相当于网站拿出了一个由权威机构认证的“身份证”。
保证完整性则是说，数据在传输过程中没有被篡改。比如你收到的网页内容，可能被中间人插入广告或恶意脚本。而 HTTPS 能发现这种改动，浏览器会直接警告甚至阻止加载。
搜索引擎也在推波助澜
谷歌、百度这些搜索引擎早就开始优先推荐 HTTPS 网站。如果你的站点还是 HTTP，不仅排名靠后，用户点进去还会被浏览器标记为“不安全”。哪怕你卖的是正规产品，客户看到红色警告也会犹豫。
更实际的影响是，现在很多新功能，比如获取地理位置、使用摄像头、开启PWA离线模式，都要求必须在 HTTPS 下运行。等于说，不用 HTTPS，你就没法用这些现代 Web 功能。
性能不再是问题
早些年有人觉得 HTTPS 慢，因为加解密要耗资源。但现在 TLS 1.3 已经大幅优化，握手过程几乎和 HTTP 一样快。再加上多数服务器支持硬件加速，实际体验几乎没有延迟。
而且像 Let's Encrypt 这样的机构提供免费证书，配置起来也简单。主流服务器如 Nginx、Apache 都有成熟方案，几条命令就能搞定。
一个小例子
假设你要在 Nginx 上启用 HTTPS，配置大致长这样：
server {
listen 443 ssl;
server_name example.com;
ssl_certificate /path/to/fullchain.pem;
ssl_certificate_key /path/to/privkey.pem;
location / {
root /var/www/html;
index index.html;
}
}配上自动续期脚本，基本一劳永逸。
现在不用 HTTPS 才是例外
从前几年开始，主流浏览器就把 HTTP 页面统一标成“不安全”，就是为了倒逼网站升级。到现在，你还敢在一个标红的页面上输入密码吗？用户不敢，搜索引擎不认，功能受限，性能也没优势——继续用 HTTP 的理由，确实不多了。
尤其是做电商、会员系统、后台管理这类涉及敏感信息的站点，HTTPS 已经不是“要不要”的问题，而是“必须上”的基础配置。