HTTP 與 HTTPS 如何運作，有何差異？

HTTP 與 HTTPS 都讓瀏覽器和網站伺服器透過「請求、回應」交換資料，核心差別是HTTPS 加入加密與身分驗證，HTTP 本身則不加密。因此，選用 HTTPS 不只是網址多一個字母，而是為了降低傳輸內容被窺看、竄改的風險。對涉及登入密碼、付款資訊的網站尤其重要；即使只是提供閱讀內容，傳輸完整性也有保護價值。

HTTP：能傳送網頁，但不保護傳輸內容

開啟 HTTP 網頁時，瀏覽器先向伺服器提出請求；請求經過網路抵達伺服器，伺服器處理後送回網頁內容，瀏覽器再接收、顯示。HTML、圖片等網頁資源，都透過這類請求與回應取得。

問題不在於 HTTP 無法完成溝通，而是它本身沒有加密保護。能監看或攔截這段傳輸的第三方，可能讀取其中的資訊，甚至修改內容。例如，若登入資料以未加密的 HTTP 傳送，密碼就可能暴露給網路監看者。

• HTTP 網址以 http:// 開頭，預設連接埠為 80。
• HTTPS 網址以 https:// 開頭，預設連接埠為 443。

HTTPS：先驗證憑證，再建立加密連線

HTTPS 沿用 HTTP 的請求與回應模式，但增加 SSL/TLS 安全層。材料說明，TLS 是較新的技術，而「SSL 憑證」仍是常見稱呼。理解運作時，可以把流程分成三步：

1. 伺服器提供憑證：瀏覽器連向 HTTPS 網站，伺服器送出包含公鑰等資訊的數位憑證。
2. 瀏覽器檢查憑證：確認憑證有效、簽發機構可信，而且與正在連線的網站網域相符。
3. 建立加密傳輸：驗證通過後，雙方進行金鑰交換並建立安全連線；資料加密傳送，再由接收方解密處理。

這是概念流程，重點是憑證驗證與加密共同發揮作用，而不是只把網址改成 https:// 就完成保護。

為什麼不只登入頁需要 HTTPS？

HTTPS 的價值包含資料保密與防止傳輸內容遭竄改。前者保護密碼、信用卡號等敏感資訊，讓攔截者難以直接讀取；後者則有助確保訪客收到伺服器原本送出的內容。

例如，一篇不要求登入的文章，看似沒有機密資料要傳送，但若缺乏傳輸保護，攻擊者仍可能在傳輸途中植入惡意程式碼，或將訪客導向危險網站。因此，是否選用 HTTPS，不宜只看頁面有沒有密碼欄位；保護內容完整送達，本身就是採用它的理由。