不安全的网址变成安全的网址

浏览器地址栏里那个灰色的不安变成小锁图标，十个人里有八个不会点开看。网址剩下两个点开了，安全也看不懂里面写的不安变成什么。这就是网址问题所在——我们每天往几十个网站里填密码、填手机号、安全填身份证号，不安变成判断依据居然只是网址一个颜色。

2018年之前，安全Chrome对HTTP网站只显示一个不起眼的不安变成"i"图标。后来改成红色警告，网址再后来变成"不安全"三个字直接怼在地址栏。安全这个变化让很多站长慌了，不安变成纷纷去买SSL证书。网址但买证书这件事本身，安全水比大多数人想的深。

锁图标不等于安全

HTTPS的本质是加密传输通道。你在A电脑上输入的内容，到B服务器之前被加密了，中间的路由器、运营商、隔壁蹭网的邻居都看不到明文。这确实解决了"传输过程中被窃听"的问题。

但加密通道的另一端站着谁，证书只验证了域名归属，没验证这个人在拿你的数据干什么。

我见过一个钓鱼网站，域名是paypa1-secure.com，注意那个"1"不是字母"l"。它买了正规的SSL证书，地址栏显示小锁，Chrome不报任何警告。页面做得跟PayPal登录页一模一样。你输进去的账号密码，通过加密通道，安全地送到了骗子的服务器上。

加密了，但安全吗？

SSL证书分三种：域名验证（DV）、组织验证（OV）、扩展验证（EV）。DV证书只验证你控制这个域名，花几十块钱甚至免费就能拿到。OV和EV要验证你的公司注册信息、法人身份，贵得多，流程也长。

早些年EV证书会让浏览器地址栏变绿色，显示公司名称。后来Chrome和Firefox把绿色地址栏取消了，理由是用户根本不看。现在所有证书在地址栏里长得一模一样，都是一个小锁。

这意味着一个个人博客和一个银行网站，在浏览器眼里没有区别。你没法从地址栏判断对面是一个人在出租屋里搭的服务器，还是花旗银行的数据中心。

第一，HSTS。服务器返回一个响应头，告诉浏览器"以后访问我必须用HTTPS"。浏览器记住这个指令，下次你哪怕输入http://开头，它也自动跳转。更狠的是preload列表，Chrome内置了一份强制HTTPS的域名清单，连第一次访问都不给HTTP机会。

第二，证书透明度日志。所有CA签发的证书都要提交到公开日志里。你可以在crt.sh上搜任何域名，看它历史上签过哪些证书。如果有人用你的域名签了证书但你不知情，这里能查到。这是目前发现钓鱼证书最有效的手段。

第三，也是最容易被忽略的——看域名，不看锁。把地址栏从左到右读一遍。协议是不是HTTPS，域名拼写对不对，有没有多余的子域名或连字符。这比那个锁图标有用一百倍。

2023年有个客户找我，说他的网站被Chrome标记"不安全"了。我打开一看，域名是他自己的，证书也在有效期内。问题出在混合内容——他的首页HTTPS加载，但里面嵌了一张HTTP的图片。浏览器认为页面里混了不安全资源，整个页面降级为不安全。

他换了图片链接就好了。但这件事说明一个事：安全网址不是买完证书就完事了，它是一个持续维护的状态。证书会过期，第三方资源会变，CDN配置会出错。

所以下次你看到一个没有锁的网站，别急着关掉——先看看它是不是只是没配HTTPS。反过来，看到一个有锁的网站，也别急着输密码——先看看域名对不对。锁只能证明"这条管道是密封的"，证明不了"管道那头是好人"。