HTTP 安全现状

Web 主要基于 HTTP 运行，但为了确保端到端连接的安全性、完整性和隐私性，客户端通过一种称为 HTTPS 的安全 HTTP 与服务器通信。

安全通信通道的重要性不容低估。无论网站是静态还是动态的，规模大小如何，都应将其作为标准配置。事实上，HTTPS 的使用比以往任何时候都更加普遍。

浏览器自身也推动了 HTTPS 的普及，例如 Chrome 持续采取措施，通过将使用 HTTP 的网站标记为潜在危险来劝阻用户使用 HTTP。

一个典型的例子是 Chrome 近期推出的关于混合内容的强化策略，该策略会主动阻止 HTTP 请求。这延续了此前提升网页安全性的多项举措，包括：

• 根据地址栏中的绿色锁形图标更清晰地显示网站的安全状态
• 在 Chrome 开发者工具中新增专用的【安全面板】

图 3-1：Chrome DevTools 新增的安全面板

HTTP Archive

HTTP Archive 是由网络活动人士发起的一项重要计划，用于追踪网页随时间演变的各种特征和趋势。该项目是开源的，由开发者社区共同维护。

HTTP Archive 已公开发布的一些知名报告包括：

• 网页现状报告：跟踪网站对各类网页技术的采用情况以及新兴标准的发展趋势，涵盖如“总请求数”、“存在漏洞的 JavaScript 库的页面数”、“HTTP/2 请求占比”等数据点，旨在识别行业趋势。
• JavaScript 现状报告：衡量 JavaScript 在网站中的整体影响，包含 JavaScript 库的大小、JavaScript 请求数量、启动时间（反映脚本在页面上消耗的 CPU 时间）等指标。
• 可访问性报告：基于 Chrome 的 Lighthouse 工具评估整体可访问性得分，并追踪诸如 Image Alt 属性使用情况等其他可访问性标准。

所有 HTTP Archive 报告的数据均可通过 Google BigQuery 公开获取，任何人都可以查询分析。这些数据通过每两周一次对 Alexa 排名前一百万的网站进行扫描生成，使用的工具包括开源项目和在线网页性能测试工具 WebPageTest。

HTTPS 请求

借助 HTTP Archive 这一工具，我们可以观察到“默认安全”趋势下 HTTPS 在网站中的采纳率增长情况。

最早的数据显示于 2016 年 1 月，当时仅有 24% 的桌面网站使用 HTTPS。到 2020 年 8 月，这一比例已飙升至 87.7%。

图 3-2：HTTP Archive 网页现状报告 - HTTPS 请求

安全托管

随着 HTTPS 的普及，静态网站托管平台也相应调整并采纳了类似的安全标准，积极推动更安全的网络环境。

以下所有网站部署与托管平台均支持通过 HTTPS 提供内容：

• Vercel
• Netlify
• Google Firebase
• Heroku

这有助于提升 HTTPS 的普及程度，使其对小型和大型网站都更加易用和可及。

Let's Encrypt 在构建安全网络方面发挥了重要作用，它使数字证书变得极为廉价（完全免费）。