浏览器地址栏里那个“http://”前缀，网站现在看起来像上个时代的网站遗物。Chrome从2018年开始就把“安全”二字挂在https前面，网站而http站点则被标上“不安全”。网站去年我帮朋友迁移一个老论坛，网站后台数据导出时发现，网站访问量最大的网站那批页面全是http开头的。朋友说：“懒得换，网站反正能打开。网站”结果三个月后，网站Google搜索直接把他的网站站降权，移动端访问弹窗警告，网站用户跑了一半。网站
http到底是网站什么？它是一套“明信片”式的通信规则。你向服务器发一个请求，网站服务器把网页内容塞进信封寄回来。信封上没封口，沿途任何节点——路由器、运营商网关、公共WiFi——都能拆开看。你填的账号密码、搜索词、Cookie，全在信封上写着。2010年有个叫Firesheep的Firefox插件，在咖啡馆点一下按钮，就能抓取同一网络下所有人未加密的Facebook会话。那会儿大家才意识到，http不只是“没小锁图标”那么简单。
但http站点至今没死透。我查过一份2023年的爬虫数据，全球仍有约12%的网站默认走http，其中大量是政府旧系统、企业内部工具、学校选课页面。去年某地社保局网站被挂马，就是因为后台还是http，攻击者在用户登录时注入脚本，偷走身份证号和密码。管理员后来解释：“系统太老，改https要重写所有内部链接。”技术债就是这样，越拖越贵。
换https不是装个证书就完事。我经手过一个电商站迁移，发现商品详情页里嵌了200多张http图片，浏览器会判定“混合内容”，把整个页面标记为不安全。得一张张改URL，或者用CDN批量替换。还有SEO问题：百度对https的抓取优先级更高，但旧http链接的权重需要301跳转传递，跳转链太长会丢权重。有个做外贸的客户，迁移后流量掉了30%，查了三个月才发现是sitemap里还留着http旧地址。
普通用户怎么判断？看地址栏。Chrome现在对http站点直接显示“不安全”，Firefox更狠，填密码时会弹红色警告。但很多人点“继续访问”就完事了。我在地铁上见过有人连公共WiFi登网银，地址栏明晃晃的http，他输密码时手指都没停。安全提示变成背景噪音，这才是最麻烦的。
有些老站故意保留http，比如某些技术文档站，理由是“方便curl测试”。但curl早就支持https了。还有人说“http更快”，那是十年前的老黄历。现在TLS 1.3握手只要1-RTT，CDN边缘节点解密，延迟差距在毫秒级。我实测过同一个静态页，http比https快不到8毫秒，用户根本感知不到。
真正该担心的是物联网设备。很多廉价摄像头、智能插座的管理后台还是http，默认密码admin/admin。去年有个僵尸网络专门扫http设备的554端口，控制了十几万台设备。厂商的补丁？不存在的，固件三年前就停更了。
如果你还在维护http站点，别犹豫了。Let‘s Encrypt免费证书，Certbot自动续期，Nginx配置加三行代码。迁移时注意：先全站301到https，再提交新sitemap，最后在Search Console里监控抓取错误。别学我那个朋友，等到流量腰斩才动手。地址栏里那个小锁图标，现在是互联网的底线，不是加分项。