你打开银行APP，意思看到锁形图标，意思心里踏实了点。意思那个小锁背后站着的意思，就是意思SSL——Secure Sockets Layer，安全套接层。意思说白了，意思它是意思一条加密隧道，把你浏览器和服务器之间的意思对话变成只有双方能懂的密语。

1994年，意思网景公司发明了SSL。意思那时网上购物刚起步，意思信用卡号在互联网上裸奔，意思跟明信片一样谁都能看一眼。意思SSL 1.0从未发布，意思2.0有严重漏洞，3.0也不完美。直到1999年，IETF基于SSL 3.0推出了TLS（Transport Layer Security），也就是我们现在实际使用的协议。人们习惯叫SSL，其实绝大多数情况下用的是TLS。这有点像你管所有纸巾叫“舒洁”，管所有创可贴叫“邦迪”。

加密的过程并不玄乎。想象你有个带锁的箱子，锁有两把钥匙：一把公钥，一把私钥。公钥谁都能拿，用来锁箱子；私钥只有收件人有，用来开锁。你访问网站时，服务器先把公钥发给你，你用它在本地把数据锁进箱子，传过去。即使黑客中途截获，没有私钥也打不开。真实世界比这个比喻复杂得多，涉及证书链、密钥交换、数字签名等一堆密码学细节，但核心逻辑就是这个——非对称加密交换密钥，对称加密传输数据。

我见过太多人把SSL和“安全网站”划等号。这是误解。SSL只保证数据在传输过程中不被窃听或篡改，它不保证网站本身是干净的。钓鱼网站照样能申请到SSL证书，挂上锁形图标，让受害者放松警惕。2018年，Google宣布HTTPS成为排名信号后，几乎99%的钓鱼站点都用了HTTPS。锁形图标只代表“这条路是密封的”，不代表“路的尽头是好人”。

判断一个网站是否真的可信，你得点开那把小锁，查看证书签发机构，看看域名是否匹配。如果证书是某个你不认识的机构签的，或者域名对不上，那就要警惕了。另外，SSL证书有DV、OV、EV三个级别。DV只验证域名所有权，几分钟就能下来，成本极低；OV会验证企业真实身份；EV要求最严，地址栏会直接显示公司名称。可惜Chrome和Firefox在2019年后逐步移除了EV的绿色地址栏显示，现在只在小面板里标一下，用户几乎感知不到区别。

这引出一个尴尬现实：SSL的体验设计很糟糕。普通用户根本分不清锁形图标背后的差异，浏览器厂商也没做好教育。有人看到“不安全”三个字会慌，但不知道具体哪里不安全；有人看到锁形图标就完全放心，却不知道这锁可能只防君子不防小人。

日常使用中，你更应该关心的其实是证书过期问题。我见过不少中小网站，证书忘了续期，用户一访问就弹出红色警告。这往往比没有SSL更吓人——至少没SSL的网站界面是正常的，过期证书直接让浏览器罢工。企业IT管理员最头疼的就是证书管理，因为一张证书泄漏私钥，整个加密体系就崩塌了。所以现在有ACME协议和Let's Encrypt这类免费自动化证书签发服务，把续期周期压缩到90天，逼着管理员做自动化。

说到底，SSL是互联网信任体系的地基之一。它不完美，有缺陷，不断在演进。从SSL 2.0到TLS 1.3，每次升级都在修补前代漏洞。TLS 1.3把握手时间砍半，还移除了大量过时加密算法，性能和安全都提升明显。只是大多数人感知不到这些变化，就像你感觉不到家里水管里的水压，直到哪天停水了才想起来。