HTTP 还能用吗？

[lividton001]

整了个小 vps ，上面跑个小网站，https 好麻烦的样子，只用 http 有啥问题吗？

[XiLingHost]

如果是纯静态页面，没有传递敏感信息，同时不介意可能会被中间人篡改内容，http 是可用的

[PqgpNgA0wk]

用 caddy 就没有 https 的烦恼了

[lividton001]

@XiLingHost 好的，谢谢老哥，前两点好理解，第三方“中间人篡改内容”是什么样的吗？

[lividton001]

@PqgpNgA0wk caddy 对俺来说，是个新名词😂

[yidinghe]

HTTP 的网站用户可能会成为被用来实施 DDoS 攻击的工具。

https://wooyun.js.org/drops/%E5%AF%B9github%E7%9A%84%E4%B8%AD%E9%97%B4%E4%BA%BA%E6%94%BB%E5%87%BB.html

牢记历史。

[pelloz]

虽然现在很少会遇到，但是 http 是比较容易被中间人篡改内容的，表现形式一般就是你的网站打开后出现你不知道的广告，极端情况下你的网站打开后直接面目全非...https 感觉也不麻烦啊，现在不都是自动配置自动续期么

[yahooer]

先麻烦的话套一层 cf 呗

[lividton001]

@yidinghe
@pelloz
我又要学习新的知识了，可俺就是个业余的，以前就会 dreamware 做网页的。哈哈

[woodfizky]

不知道你的 VPS 是国内还是国外的，国内那些阿里腾讯华为 xxxx 云应该都是可以很方便免费配置 https 的。

前提是要有个域名哦，域名确实得自己花钱买。

[hahastudio]

用户在国内的话，篡改网页的中间人可以是运营商
/t/372270
/t/383540

[zictos]

1 、安全问题，内容未加密，浏览器上一般也会显示"不安全"让用户看到
2 、可能更容易存在被劫持、被篡改或钓鱼网站问题。
3 、有些浏览器在用户访问你的网站时可能会插入自己的广告，360 和 uc 浏览器好像都见过。
4 、运营商插入广告在很多年前好像也见过，记得当时好像显示的是电信的一些相关内容，但不知道是否真的是运营商的。当时好像是与 dns 劫持问题有关，具体细节我也不记得了，很多细节和原理都忘了，感觉好像只有 http 网站才会这样，所以两者应该有一定关联性。
如果你都不在乎，那使用 http 是没问题的

[QlanQ]

免费证书还可以用呀
http 的网站，不可以在 微信打开吧
浏览器前面也会加一个警告吧

[txzh007]

套 cf 这个不难吧

[chaselen]

套 cf 白嫖 https ，但是访问很慢，有解决办法吗

[caola]

都自动化了，还有什么麻烦的，现在你随便输入一个域名，浏览器都优化走 https ，你想访问 http 还得加上完整协议的

[okakuyang]

不太行了，有些浏览器强制你弄成 https ，你手敲 http://都没用。

[xiangyuecn]

配个 https 吧，手动操作也就几分钟的事，90 天有效期 一年也就更新个 4-5 次证书

欢迎使用我的《 HTML5 网页版 ACME 客户端》：向 Let's Encrypt 、ZeroSSL 、Google 等支持 ACME 协议的证书颁发机构，免费申请获得用于 HTTPS 的 SSL/TLS 域名证书（ RSA 、ECC/ECDSA ），支持多域名和通配符泛域名；只需在现代浏览器上操作即可获得 PEM 格式纯文本的域名证书，不依赖操作系统环境，无需下载和安装软件，纯手动操作，只专注于申请获得证书这一件事

https://xiangyuecn.github.io/ACME-HTML-Web-Browser-Client/ACME-HTML-Web-Browser-Client.html

[AoEiuV020JP]

以前有运营商之类给 http 网站插广告之类的操作， 服务器到用户之间任意一个环节都能插广告，
不知道现在 https 流行的情况这个操作还有没有保留下来，

[tool2dx]

我一直坚持用 http ，最新的 edge 改了，不允许客户直接下载 http 资源，会报警二次确认。反正各种麻烦。

你要想清楚网站用途是干什么。

[chaoschick]

没有问题 我网站就是 http 协议 然后托管给 cloudflare 用户访问时 https -> cloudflare -> http 我网站

[lividton001]

@xiangyuecn 谢谢啦

[Daitabashi]

@lividton001 #3 你的网站一定会经过运营商这种中间人 也可能经过假装要求"流量必须从我这里过"的中间人 在通过他们之手时 他们可以随意查看 丢弃 篡改或新增未加密的 http 请求 譬如给你网页右下角加个 css 搞个小广告 或者你的网站有个登录功能就能直接拿到账号密码啥的

[oneisall8955]

小白用宝塔之类的就行了