HTTP属于超文本传输协议，用于在互联网上传输超文本，而HTTPS是一种安全的超文本传输协议，基于HTTPS具有更强的安全性。简单来说，HTTPS是HTTP的安全版本，是一种通过TLS/SSL加密的HTTP协议。
超文本传输协议HTTP协议用于在Web浏览器和网站服务器之间传输信息。HTTP协议以明文形式发送内容，不进行任何数据加密。如果攻击者截获了web浏览器和网站服务器之间的传输消息，就可以直接读取信息。所以HTTP协议不适合传输一些敏感信息，比如信用卡号、密码等支付信息。
为了解决HTTP协议的这一缺陷，我们需要使用另一种协议:HTTPS，安全套接字层的超文本传输协议。为了数据传输的安全性，HTTPS在HTTP的基础上加入了SSL协议。SSL依靠证书来验证服务器的身份，并对浏览器和服务器之间的通信进行加密。
一、HTTP和HTTPS的基本概念
HTTP:是互联网上使用最广泛的网络协议。它是客户端和服务器之间的请求和响应标准(TCP)。它是一种传输协议，用于将超文本从WWW服务器传输到本地浏览器。可以让浏览器更高效，减少网络传输。
HTTPS:是一个以安全为目标的HTTP通道。简单来说就是HTTP的安全版本，也就是在HTTP下面加了SSL层。HTTPS的安全基础是SSL，所以加密的细节需要SSL。
HTTPS的主要功能可以分为两种:一种是建立信息安全通道，保证数据传输的安全；另一个是确认网站的真实性。
第二，HTTP和HTTPS有什么区别？
HTTP协议传输的数据是不加密的，也就是明文，所以用HTTP协议传输隐私信息是非常不安全的。为了保证这些私密数据能够被加密，网景设计了SSL(安全套接字层)协议来加密HTTP协议传输的数据，于是HTTPS诞生了。
简单来说，httpS协议是SSL+HTTP协议构建的网络协议，可以进行加密传输和认证。它比HTTP协议更安全。
HTTPS和HTTP的区别主要如下:
1.https协议需要在ca申请证书，一般免费的证书很少，所以需要一定的费用。
2.http是超文本传输协议，信息以纯文本传输，https是安全的ssl加密传输协议。
3.http和https使用完全不同的连接方法和不同的端口。前者80，后者443。
4.http连接非常简单，无状态；HttpS是SSL+HTTP协议构建的网络协议，可以加密认证，比HTTP协议更安全。
三、HTTPS的工作原理
我们都知道HTTPS可以对信息进行加密，防止敏感信息被第三方获取，所以很多安全级别较高的服务比如银行网站或者邮箱地址都会采用HTTPS协议。
当客户端通过HTTPS与Web服务器通信时，有如下步骤，如图所示。
(1)客户使用https URL访问Web服务器，并要求与Web服务器建立SSL连接。
(2)在接收到客户端的请求之后，2)Web服务器将向客户端发送网站的证书信息(证书包含公钥)的副本。
(3)客户端的浏览器开始与Web服务器协商SSL连接的安全级别，即信息加密的级别。
(4)客户端的浏览器根据双方约定的安全级别建立会话密钥，然后用网站的公钥对会话密钥进行加密，传输到网站。
(5)Web服务器用自己的私钥解密会话密钥。
(6)Web服务器使用会话密钥对与客户端的通信进行加密。
四。HTTPS的优势
虽然HTTPS不是绝对安全的，掌握根证书和加密算法的组织也可以进行中间人攻击，但HTTPS仍然是当前架构下最安全的解决方案，主要有以下几个好处:
(1)可以通过使用HTTPS协议来认证用户和服务器，以确保数据被发送到正确的客户端和服务器；
(2)httpS协议是SSL+HTTP协议构造的网络协议，可用于加密传输和认证。与HTTP协议相比，HTTPS协议更安全，可以防止数据在传输过程中被窃取或更改，保证数据的完整性。
(3)HTTPS是当前架构下最安全的解决方案。虽然不是绝对安全的，但是大大增加了中间人攻击的成本。
(4)谷歌在2014年8月调整了搜索引擎算法，并称 相比同等HTTP网站，HTTPS加密的网站在搜索结果中的排名会更靠前 。
动词 （verb的缩写）HTTPS的缺点
虽然HTTPS有很大的优势，但是相对来说，它还是有缺点的:
(1)1)HTTPS协议的握手阶段耗时，会使页面加载时间延长近50%，功耗增加10%至20%；
(2)HTTPS连接缓存效率不如HTTP，会增加数据开销和功耗，甚至现有的安全措施也会受到影响；
(3)SSL证书是要花钱的，证书越强大，成本越高。个人网站和小网站没必要，一般不会用。
(4)SSL证书通常需要绑定IP，不能在同一个IP上绑定多个域名。IPv4资源不支持此消耗。
(5)5)HTTPS协议的加密范围也是有限的，在黑客攻击、拒绝服务攻击、服务器劫持等方面几乎起不到什么作用。
最关键的是，SSL证书的信用链系统并不安全，尤其是在一些国家可以控制CA根证书的情况下，中间人攻击同样可行。
6.从http切换到HTTPS
如果需要把网站从http切换到https，怎么做？
在这里，页面中的所有链接，比如js、css、图片等等，都需要从http改为https。
比如网页链接改成网页链接。
BTW，虽然这里http切换成https了，但还是建议保留http。
所以我们在切换的时候可以兼容http和https。具体实现的方法是将页面链接中的http头去掉，这样http头和https头就可以自动匹配了。
比如把链接改成///www.baidu.com
那么，当用户从http的入口访问页面时，页面就是http。如果用户从https的入口访问页面，该页面就是https。
