瀏覽器網址列的「http」與「https」一字之差，背後是傳輸安全性的鴻溝。本文拆解兩者技術差異，並打破「HTTPS 絕對安全」的迷思。

HTTP：明文傳輸的開放協定

HTTP（HyperText Transfer Protocol）是 Web 資源傳輸的基石，1960 年 Ted Nelson 構想的「超文本」概念奠定基礎。然而 HTTP 全程明文傳輸，無任何加密機制。攻擊者攔截瀏覽器與伺服器間的報文，即可直接讀取帳號、密碼、信用卡號等敏感資訊，完全不適合機密資料傳輸。

HTTPS：HTTP + SSL/TLS 的安全增強版

HTTPS（HTTP over SSL/TLS）在傳輸層注入 SSL/TLS 協定：

• 數位憑證驗證伺服器身分：由 CA（憑證授權機構）簽發，防止冒充。
• 加密通道：對稱加密（AES/ChaCha20）保護資料機密性，非對稱加密（RSA/ECC）完成金鑰交換與身分驗證。
• 完整性校驗：HMAC 防範資料竄改。

四大核心差異總覽

HTTPS ≠ 絕對安全：三大誤區與風險

1. 僅保護傳輸鏈路：加密保護的是「用戶 ↔ 伺服器」區段。伺服器端若遭入侵、資料庫洩露、內部人員竊取，HTTPS 無法阻擋。
2. 釣魚網站也能用 HTTPS：攻擊者申請相似域名（如 paypa1.com）並部署合法憑證，用戶看到綠鎖即放鬆警惕。
3. 實作漏洞與供應鏈風險：SourceDNA 報告大量 iOS App 存在 HTTPS 驗證繞過漏洞；偽造憑證、中間人攻擊、舊版 TLS/SSL 弱點（POODLE、BEAST）均屬實際威脅。

結論：HTTPS 是必要條件，非充分條件。完整安全需結合端點防護、應用層安全開發、憑證透明度監控、HSTS/HPKP 強制策略、用戶安全意識等多層防禦體系。