未启用https属于中危漏洞还是低危漏洞

未启用https属于中危漏洞还是未启危漏低危漏洞？我的答案是：中危起步，在特定场景下直接拉高到高危。属于

别急着反驳。中危我知道很多扫描器把纯http站点标成“低危”，漏洞理由很直接——数据没被加密，还低但不代表一定被偷。未启危漏可这个逻辑有个漏洞：它假设攻击者必须站在网络里才能偷看。属于现实里，中危公共Wi-Fi、漏洞运营商链路、还低甚至你公司出口路由器，未启危漏任何一个环节被动了手脚，属于明文流量就像没锁门的中危快递柜。2023年那个某电商平台因为http登录接口被中间人截获，漏洞用户账号密码批量泄露的还低事，最后定级就是高危。

判断严重性，得先看站点的“内容属性”。一个纯展示的静态博客，没登录、没表单、没cookie，http确实只算低危——就算被篡改，顶多显示点恶心人的广告。但哪怕有一个用户登录入口，性质就变了。密码、token、session在明文里裸奔，等于把钥匙挂在门把手上。这时候还坚持低危，就是拿用户的安全感开玩笑。我见过不少内部系统，觉得“反正公司内网，没人看”，结果员工在咖啡厅连VPN忘了开，直接走http访问，半小时后账号就被撞库了。

还有个容易被忽略的点：https不只是加密，它还承担完整性校验。没启用https，意味着页面里的JS可以被中间人任意替换。攻击者不需要偷你的密码，直接往页面里插一段挖矿脚本，或者把转账收款码换成自己的。这种攻击比单纯窃听更隐蔽，用户完全无感。2017年那个某浏览器厂商的http页面被植入恶意代码事件，就是活生生的例子——受害者还以为自己访问的是正规站点。

所以我的判断标准很简单：有交互就中危，有资金或敏感信息直接高危，纯静态可以低危，但建议顺手加上。别拿“我们内容不敏感”当挡箭牌，现在浏览器对http的警告越来越强硬，用户看到“不安全”标识，第一反应是关掉页面。你连https都不上，用户凭什么信你？

再补一刀：部署https的成本已经低到可以忽略。Let's Encrypt免费证书，配置一次管三个月，自动续期脚本一堆现成的。真要懒得弄，用Cloudflare的Flexible SSL也能兜底。技术债不是这么欠的，安全漏洞更不是靠“低危”两个字就能自我安慰的。

最后说个真实感受：每次看到报告里把未启用https标成“低危”，我都觉得这是扫描器在偷懒。它不会替你承担数据泄露的责任，但甲方会拿着这份报告去找领导汇报——“你看，安全团队说没事”。然后等出事的时候，没人记得那个“低危”是怎么被忽略的。所以，如果你在改报告，动手把级别调高一点。不为别的，就为对得起“安全”这两个字。