上一篇
https真的不需要证书吗，https证书申请流程
这是一个非常经典且常见的误解，简单直接的回答是：HTTPS 绝对需要证书，没有证书就无法建立真正的 HTTPS 连接。
很多人产生“HTTPS 不需要证书”的错觉，通常是因为混淆了“本地开发环境”、“自签名证书”以及“浏览器警告”这几个概念，下面我们将深入剖析 HTTPS 的工作原理、证书的作用以及为什么在某些场景下你会觉得“好像没证书也能用”。
核心概念澄清：HTTPS 的本质
HTTPS（HyperText Transfer Protocol Secure）并非一个独立的协议，而是 HTTP 协议运行在 SSL/TLS 协议层之上。
- HTTP：明文传输,数据容易被窃听或改动。
- SSL/TLS：负责加密数据传输、验证服务器身份、保证数据完整性。
- 证书（Certificate）：是 SSL/TLS 握手过程中用于验证服务器身份的核心文件。
如果没有证书，客户端（浏览器）就无法确认它连接的服务器是不是真正的目标服务器，也就无法完成 TLS 握手，HTTPS 连接根本无法建立。
为什么你会觉得“不需要证书”？
这种错觉主要来源于以下三种情况：
A. 本地开发环境（localhost）
在本地开发时，浏览器通常允许对 localhost 或 0.0.1 使用自签名证书，甚至某些现代浏览器在特定配置下允许 HTTP 访问 localhost 而不强制要求证书，但这只是浏览器的“宽容策略”，并非 HTTPS 协议本身不需要证书。
B. 自签名证书（Self-Signed Certificate）
开发者可以生成自己的证书（自签名证书），而不是从受信任的证书颁发机构（CA）购买。
- 特点：技术上是有效的,能加密数据。
- 问题：浏览器会显示“您的连接不是私密连接”或“不安全”的红色警告页面，用户必须手动点击“高级”->“继续访问”才能进入。
- 这依然使用了证书,只是浏览器不信任它。
C. 混淆了 HTTP 和 HTTPS
有时服务器同时配置了 HTTP 和 HTTPS，如果你访问的是 http:// 开头的链接，那确实不需要证书；但一旦切换到 https://,证书就是必须的。
证书在 HTTPS 中的三大作用
| 作用 | 说明 | 如果没有证书会怎样？ |
|---|---|---|
| 身份验证 | 证明服务器确实是它声称的那个服务器（如 www.example.com），防止中间人攻破。 | 任何人都可以冒充你的服务器，窃取用户数据。 |
| 数据加密 | 通过非对称加密交换密钥，后续通信使用对称加密，确保数据在传输过程中不被窃听。 | 数据以明文传输，高手可以轻松截获密码、信用卡号等敏感信息。 |
| 数据完整性 | 确保数据在传输过程中没有被改动。 | 攻破者可以修改传输中的数据（如将转账金额从 100 改为 10000）。 |
证书的类型与获取方式
为了建立信任，证书必须由受信任的第三方机构（CA）颁发,或者由用户自己信任。
| 证书类型 | 描述 | 适用场景 | 信任度 |
|---|---|---|---|
| DV (域名验证) | 仅验证域名所有权，颁发速度快，通常自动完成。 | 个人博客、小型网站。 | 中等（仅证明域名归属） |
| OV (组织验证) | 验证域名所有权及申请组织的真实性。 | 企业官网、电商平台。 | 高（显示公司名称） |
| EV (扩展验证) | 最严格的验证流程，浏览器地址栏显示绿色公司名称。 | 银行、金融机构。 | 最高（但现代浏览器已弱化绿色显示） |
| 自签名证书 | 自己生成的证书，未经过 CA 签名。 | 内部系统、测试环境、开发调试。 | 低（浏览器默认不信任） |
常见误区解答
- 误区 1：“我用 Let’s Encrypt 免费证书，所以证书不重要？”
- 正解：Let’s Encrypt 是 CA 机构，它颁发的证书是受浏览器信任的，免费证书依然需要证书,只是获取成本低。
- 误区 2：“内网系统用 HTTPS 也要证书吗？”
- 正解：是的，内网系统如果使用 HTTPS，也需要证书，可以使用内部 CA 颁发的证书，或者自签名证书（需在内网客户端手动信任该证书）。
- 误区 3：“HTTP/2 必须用 HTTPS，HTTPS 必须用证书？”
- 正解：是的，HTTP/2 协议规范明确要求必须通过 TLS 加密连接，而 TLS 必须使用证书。
HTTPS 必须依赖证书。 证书是 HTTPS 安全体系的基石，它解决了“你是谁”和“数据是否安全”的问题，没有证书，HTTPS 就无法实现其核心功能——安全通信。
所谓的“不需要证书”,通常是指：
- 使用了自签名证书
（浏览器警告但可用）。
- 在本地开发环境中浏览器的特殊处理。
- 混淆了 HTTP 和 HTTPS。
- 现代浏览器（Chrome, Firefox, Edge 等）：通常会显示全屏红色警告页面（如“您的连接不是私密连接”），用户必须手动点击“高级”->“继续访问”才能进入网站。
- 移动端浏览器：可能会直接阻止加载，或显示更明显的“不安全”提示。
- 企业内网环境：如果管理员将自签名证书的根证书安装到了所有员工的电脑和手机的“受信任的根证书颁发机构”存储中，那么浏览器将不再显示警告,视为安全连接。
- 网站仍可访问：技术上，浏览器仍然可以连接到服务器，因为 TCP 连接和 TLS 握手可能部分完成。
- 安全警告：浏览器会明确提示“证书已过期”或“证书无效”,并显示红色警告页面。
- 用户体验极差：绝大多数普通用户看到警告后会直接离开网站,认为网站不安全或已废弃。
- SEO 影响：搜索引擎（如 Google）会将 HTTPS 作为排名因素，证书过期可能导致搜索引擎降低网站排名，甚至标记为“不安全”。
- API 调用失败：如果后端服务之间通过 HTTPS 通信，证书过期会导致 API 调用失败,因为客户端会拒绝连接。
在生产环境中，为了保障用户安全和浏览器信任，必须使用由受信任 CA 颁发的有效证书。
相关问题与解答
问题 1：如果我的网站使用了自签名证书，用户访问时一定会看到红色警告吗？
解答：
不一定，自签名证书会导致浏览器显示安全警告,但具体表现取决于浏览器和操作系统：
问题 2：HTTPS 证书过期了会发生什么？网站还能访问吗？
解答：
