以前浏览器地址栏里那个小锁很有存在感，于是很多人慢慢形成了一个条件反射：有锁，就是安全网站。
这句话只对了一半。HTTPS 非常重要，但它不是互联网版“可信商家”徽章。钓鱼网站一样可以申请证书，而且配置 HTTPS 的成本早就低到不值得骗子省这一步。
HTTP 的问题是什么
普通 HTTP 没有 TLS 提供的传输加密。如果你提交用户名、表单内容或其他数据，中间网络节点理论上更容易读取或篡改。HTTPS 则是在 HTTP 外面加上 TLS，让浏览器和服务器先建立一个加密会话。
HTTPS 主要解决三件事
- 防窃听：中间人不能轻易读懂传输内容。
- 防篡改：传输内容被改动时，TLS 能提供完整性保护。
- 验证连接对象：证书帮助浏览器确认当前服务器有权为这个域名提供 HTTPS。
第三点最容易被误解。证书主要证明“你正在加密地连接这个域名”，并不证明“这个域名背后的人绝对可信”。
为什么钓鱼网站也能有 HTTPS
假设攻击者注册一个长得很像官方网站的域名，然后为它申请合法证书。从 TLS 的角度看，没有矛盾：攻击者确实控制这个域名，所以证书可以正常签发。
真正骗人的不是证书，而是域名和页面内容。因此看到 HTTPS 时，正确理解应该是：这条连接受到加密保护，而不是“这个网站已经通过道德审核”。
最先检查的其实是域名
遇到登录页、支付页、钱包连接页或者突然要求验证码的页面，先看完整域名。攻击者经常利用拼写相似、子域名堆叠或者短链接隐藏最终地址。
如果拿到一个陌生 URL，不想直接打开，可以先用 Wenvo Tools 的链接安全预览查看跳转链和最终地址：
这个工具可以先看重定向和最终 URL，再决定要不要继续访问。它不是“100% 安全认证器”，但比闭眼点开要多一层信息。
HTTPS 能让我完全匿名吗
不能。HTTPS 主要保护传输内容。网络服务提供商、代理或其他网络参与者仍可能从 IP、DNS、连接元数据等信息推断你正在访问某个服务。传输加密和匿名是两件不同的事。
证书报错时别养成“继续访问”的肌肉记忆
证书过期、域名不匹配、证书链异常都会触发浏览器警告。普通资讯页尚且应该先搞清原因，涉及银行、邮箱、支付、后台管理或资产账户时，更不应该顺手跳过。