网址里的网址https，本质上就是意思给网站信息传输加了一道加密锁。你看到的网址每个http网址，后面多出的意思那个s，代表secure（安全），网址意思是意思浏览器和服务器之间传递的数据，被加密成了只有双方能解开的网址密文。没有它，意思你在网页上输入的网址一切，包括密码、意思银行卡号、网址聊天内容，意思都像写在明信片上寄出去，网址沿途每个节点都能偷看甚至篡改。意思

我举一个亲历的网址例子。几年前在一个公共Wi-Fi环境下，我登录一个老牌论坛，网址栏显示的是http开头，没带s。当时我输入了账号和密码，结果第二天发现账号被盗，发了一堆广告帖。后来查原因，才知道那种公共网络环境下，黑客能轻松截获未加密的数据包，账号密码直接裸奔。如果那个论坛用了https，我输入的密码会被加密成一串乱码，就算被截获也解不开。

https的运作方式不复杂。当你输入带s的网址，浏览器会先向服务器索要一份数字证书——相当于服务器的身份证。证书由权威机构签发，证明你连的确实是真网站，不是冒牌货。验证通过后，浏览器和服务器会协商出一把临时密钥，之后所有数据都用这把密钥加密传输。整个过程对用户是透明的，你感知不到，但数据已经从明信片变成了保险箱。

有人觉得，我又不网购不转账，https跟我没关系。错了。哪怕你只是浏览一篇新闻，你点击的路径、停留时长、阅读偏好，在http下都能被第三方追踪。https至少能防止内容被中间人恶意插入广告或篡改信息。有一次我访问一个不带s的下载站，下载的软件安装包竟然被偷偷捆绑了流氓插件，后来才知道是http传输途中被劫持修改了。换成https后，这种篡改基本不可能发生。

现在主流浏览器对http站点会直接标记“不安全”，地址栏前加个感叹号。这不是吓唬人，而是因为整个互联网行业已经默认https是底线标准。但仍有不少小网站、老旧系统停留在http，原因大多是运维成本或技术债。我认识一个做个人博客的朋友，嫌配置证书麻烦，一直用http。后来他网站被植入恶意脚本，访问者会被跳转到赌博页面，他才花了一个下午把证书配置好。其实现在有免费的证书签发机构，比如Let's Encrypt，配置过程也就几行命令的事。

判断一个网站是否用了https，直接看地址栏就行。但要注意，https只保证传输过程加密，不保证网站本身可信。钓鱼网站也可以申请https证书，让你看到那把绿色小锁就放松警惕。所以，https是安全传输的基石，但别把它当成网站可信度的唯一凭证。真正要做的，是养成习惯：任何涉及隐私和财产的页面，先确认地址栏是https开头，再输入信息。这个习惯救过我一次，那次我差点在一个仿冒银行页面上输入卡号，幸好发现它虽然带了https，但域名拼写多了一个字母，及时止损。