Google 正式抛弃 HTTP！
共 3152字，需浏览 7分钟
·
2021-04-15 20:54
AI全套：Python3+TensorFlow打造人脸识别智能小程序
最新人工智能资料-Google工程师亲授 Tensorflow－入门到进阶
黑马头条项目 - Java Springboot2.0（视频、资料、代码和讲义）14天完整版
来自谷歌官方博客的最新消息显示，谷歌今日宣布，今年7月起，Chrome浏览器的地址栏将把所有HTTP标示为不安全网站。这是谷歌浏览器针对HTTP网站开战的第三步棋。
HTTPS是HTTP协议的升级版本，更为安全可靠。互联网用户和网站之间的安全连接协议被视为减少用户风险的必要措施，否则用户可能遭受窃听、中间人攻击或数据篡改。
数年来，谷歌一直力推HTTPS协议，去年它更是加快推进速度，对Chrome的用户界面做出了一些改变。
2017年1月发布的Chrome 56浏览器开始把收集密码或信用卡数据的HTTP页面标记为“不安全”。若用户使用2017年10月推出的Chrome 62，带有输入数据的HTTP页面和所有以无痕模式浏览的HTTP页面都会被标记为“不安全”。
图片来源：9TO5Google
这些措施的成效很明显。谷歌和Mac生态系统中，Chrome浏览器超过78%的流量都在使用HTTPS。而Android和Windows生态系统中，Chrome的68%流量来自HTTPS。但谷歌还未止步。
今年7月发布的Chrome 68会在地址栏中这么显示：
对于这一变化，谷歌解释道：
Chrome新界面将帮助用户了解所有的HTTP网站都是不安全的，从而采用安全的HTTPS网站。HTTPS比以往任何时候都更便利、更便宜，它带来了性能提升和强大的新功能，这些都是HTTP所没有的。
Chrome目前以黑色字体标示“不安全”字样，最终谷歌会把“不安全”标为红色，并在旁边添加表示警告的红图标，为的是进一步强调HTTP网站不应被信任。
谷歌也公开了最新版本的Lighthouse，这是一种自动化的网站性能评测工具，可提供内容审查功能来帮助开发者转移至HTTPS网站。这一新工具会向开发者显示哪些网站来源在使用HTTP，哪些网站仅仅通过改变子资源参考就可以升级到HTTPS版本。
近年来，已经有越来越多的第三方服务开始推荐甚至是强制要求使用 HTTPS 连接方式，比如现在用得特别多的微信登录、微信支付、短信验证码、地图 API 等等，又比如苹果公司 2016 年在 WWDC 上宣称，公司希望官方应用商店中的所有 iOS App 都使用安全的 HTTPS 链接与服务器进行通信，并表示 2017 年 1 月 1 日起，苹果 App Store 中的所有 App 都必须启用 ATS 安全功能——虽然后续因为一些未知原因而暂缓了，但这也传递了一种信号：越来越多的第三方服务下，在不久的将来可能都会强制要求使用 HTTPS 协议，这只是时间问题而已。
那为什么越来越多的 HTTP 都在逐渐 HTTPS 化？HTTP 协议（超文本传输协议）是客户端浏览器或其他程序与 Web 服务器之间的应用层通信协议；HTTPS 协议可以理解为 HTTP+SSL/TLS， 即 HTTP 下加入 SSL 层，HTTPS 的安全基础是 SSL，因此加密的详细内容就需要 SSL，用于安全的 HTTP 数据传输。
图片来源于网络
诚然，HTTP 具有高效便捷的优势，但也面临着窃听、篡改、冒充等传输风险，相比之下，HTTPS 协议增加了很多握手、加密解密等流程，虽然过程很复杂，但其可以保证数据传输的安全，所以在这个互联网快速迭代的时代下，HTTPS 越来越受追捧。
谷歌作为科技巨头之一，在这一方面也不例外。为了保证数据安全，谷歌很早就启用了 HTTPS 协议，并且近年来动作不断。2017 年 1 月，Chrome 56 就开始突出标记一些涉及密码、信用卡及其他敏感信息的不安全 HTTP 站点；2017 年 10 月，Chrome 62 又开始标记一些带有输入数据的 HTTP 页面和所有以无痕模式浏览的 HTTP 页面。
谷歌的这些措施也确实卓有成效，在谷歌和 Mac 生态系统中，Chrome 浏览器超过 78% 的流量都在使用 HTTPS；在 Android 和 Windows 生态系统中，Chrome 的 68% 流量也来自 HTTPS；此外，前 100 名的网站中有 81 个都在默认使用 HTTPS，绝大多数 Chrome 流量都已加密。
此次谷歌发布的最新博客消息，是其大力推行 HTTPS 的又一动作：计划在今年 7 月发布的 Chrome 68 版本上标记所有的 HTTP 页面，也就意味着谷歌将启用全站 HTTPS，并且计划在地址栏中显示如下内容：
图片来源：Chromium Blog
Chrome 安全产品经理 Emily Schechter 在博客中同样还提到了，“根据网站已经转移到 HTTPS 的速度以及今年的强劲走势，我们认为 7 月份将足够让我们可以标记所有的 HTTP 站点”。
事实上，除去谷歌，其他一些互联网公司也进行了自己的 HTTPS 实现，比如当前国内炒的很火热的微信小程序也要求必须使用 HTTPS 协议；新一代 HTTP/2 协议的支持必须以 HTTPS 为基础等等。因此想必在不久的将来，全网 HTTPS 势在必行。
参考资料：
http://blog.chromium.org/2018/02/a-secure-web-is-here-to-stay.html
https://9to5google.com/2018/02/08/google-chrome-70-http-not-secure/
https://www.theverge.com/2018/2/8/16991254/chrome-not-secure-marked-http-encryption-ssl
https://www.sohu.com/a/203610693_554061
https://www.cnblogs.com/zhangqie/p/8383508.html
往期资源：