玉龙HTTPS对网站性能SEO有哪些影响

1 前言

HTTPS在保护用户隐私，防止流量劫持方面发挥着非常关键的作用，但与此同时，HTTPS也会降低用户访问速度，增加网站服务器的计算资源消耗。

本文主要介绍https对用户体验的影响。

本文最早发表于百度运维部官方博客

2 HTTPS对访问速度的影响

在介绍速度优化策略之前，先来看下HTTPS对速度有什么影响。影响主要来自两方面：

1. 协议交互所增加的网络RTT(round trip time)。

2. 加解密相关的计算耗时。

下面分别介绍一下。

2.1 网络耗时增加

由于 HTTP和HTTPS都需要DNS解析，并且大部分情况下使用了DNS缓存，为了突出对比效果，忽略主域名的DNS解析时间。

用户使用HTTP协议访问http://www.baidu.com(或者www.baidu.com)时会有如下网络上的交互耗时：

可见，用户只需要完成TCP三次握手建立TCP连接就能够直接发送HTTP请求获取应用层数据，此外在整个访问过程中也没有需要消耗计算资源的地方。

接下来看HTTPS的访问过程，相比HTTP要复杂很多，在部分场景下，使用HTTPS访问有可能增加7个RTT。如下图：

HTTPS首次请求需要的网络耗时解释如下：

1. 三次握手建立TCP连接。耗时一个RTT。

2. 使用HTTP发起GET请求，服务端返回302跳转到https://www.baidu.com。需要一个RTT以及302跳转延时。

a) 大部分情况下用户不会手动输入https://www.baidu.com来访问HTTPS，服务端只能返回302强制浏览器跳转到https。

b) 浏览器处理302跳转也需要耗时。

3. 三次握手重新建立TCP连接。耗时一个RTT。

a) 302跳转到HTTPS服务器之后，由于端口和服务器不同，需要重新完成三次握手，建立TCP连接。

4. TLS完全握手阶段一。耗时至少一个RTT。

a) 这个阶段主要是完成加密套件的协商和证书的身份认证。

b) 服务端和浏览器会协商出相同的密钥交换算法、对称加密算法、内容一致性校验算法、证书签名算法、椭圆曲线(非ECC算法不需要)等。

c) 浏览器获取到证书后需要校验证书的有效性，比如是否过期，是否撤销。

5. 解析CA站点的DNS。耗时一个RTT。

a) 浏览器获取到证书后，有可能需要发起OCSP或者CRL请求，查询证书状态。

b) 浏览器首先获取证书里的CA域名。

c) 如果没有命中缓存，浏览器需要解析CA域名的DNS。

6. 三次握手建立CA站点的TCP连接。耗时一个RTT。

a) DNS解析到IP后，需要完成三次握手建立TCP连接。

7. 发起OCSP请求，获取响应。耗时一个RTT。

8. 完全握手阶段二，耗时一个RTT及计算时间。

a) 完全握手阶段二主要是密钥协商。

9. 完全握手结束后，浏览器和服务器之间进行应用层(也就是HTTP)数据传输。

当然不是每个请求都需要增加7个RTT才能完成HTTPS首次请求交互。大概只有不到0.01%的请求才有可能需要经历上述步骤，它们需要满足如下条件：

1. 必须是首次请求。即建立TCP连接后发起的第一个请求，该连接上的后续请求都不需要再发生上述行为。

2. 必须要发生完全握手，而正常情况下80%的请求能实现简化握手。

3. 浏览器需要开启OCSP或者CRL功能。Chrome默认关闭了ocsp功能，firefox和IE都默认开启。

4. 浏览器没有命中OCSP缓存。Ocsp一般的更新周期是7天，firefox的查询周期也是7天，也就说是7天中才会发生一次ocsp的查询。

5. 浏览器没有命中CA站点的DNS缓存。只有没命中DNS缓存的情况下才会解析CA的DNS。

2.2 计算耗时增加

上节还只是简单描述了HTTPS关键路径上必须消耗的纯网络耗时，没有包括非常消耗CPU资源的计算耗时，事实上计算耗时也不小(30ms以上)，从浏览器和服务器的角度分别介绍一下：

1， 浏览器计算耗时

a) RSA证书签名校验，浏览器需要解密签名，计算证书哈希值。如果有多个证书链，浏览器需要校验多个证书。

b) RSA密钥交换时，需要使用证书公钥加密premaster。耗时比较小，但如果手机性能比较差，可能也需要1ms的时间。

c) ECC密钥交换时，需要计算椭圆曲线的公私钥。

d) ECC密钥交换时，需要使用证书公钥解密获取服务端发过来的ECC公钥。

e) ECC密钥交换时，需要根据服务端公钥计算master key。

f) 应用层数据对称加解密。

g) 应用层数据一致性校验。

2， 服务端计算耗时

a) RSA密钥交换时需要使用证书私钥解密premaster。这个过程非常消耗性能。

b) ECC密钥交换时，需要计算椭圆曲线的公私钥。

c) ECC密钥交换时，需要使用证书私钥加密ECC的公钥。

d) ECC密钥交换时，需要根据浏览器公钥计算共享的master key。

e) 应用层数据对称加解密。

f) 应用层数据一致性校验。

由于客户端的CPU和操作系统种类比较多，所以计算耗时不能一概而论。手机端的HTTPS计算会比较消耗性能，单纯计算增加的延迟至少在50ms以上。PC端也会增加至少10ms以上的计算延迟。

服务器的性能一般比较强，但由于RSA证书私钥长度远大于客户端，所以服务端的计算延迟也会在5ms以上。

1、SEO优化（搜索引擎优先HTTPS网站，其中官方公开说明的是百度）

2、防劫持（移动数据劫持、HTTP协议劫持，流量劫持等最为频繁，对于做百度推广或移动广告的，这一点必须要关注，不然广告都是给别人做的！全站Https是根治运营商、中间人流量劫持的解决方案，不仅可以杜绝网页中被插入的小广告，更可以保护用户隐私安全。）

3、程序开发（谷歌从 2017 年1月1日起，Chrome 浏览器将会对未进行HTTPS加密的网站标记为「不安全」网站；同时苹果App Store的所有iOS应用将强制采用ATS标准，也就是强制使用 HTTPS；电子商务网站paypal在线支付必须实现SSL证书并且强制TLS1.2、微信小程序、安卓及苹果APP开发、网游平台、语音对话、登陆支付平台等）

4、地址栏绿色小锁（主要体现在浏览器地址栏，让网友客户更加信任，体现品牌形象，让客户更安全的访问）

5、杜绝钓鱼网站（Https地址栏绿色图标可以帮助用户识别出钓鱼网站，保障用户和企业的利益不受损害，增强用户信任）

6、交流数据加密（为服务器端与客户端之间的数据传输进行加密）

7、HTTPS能有效保护用户隐私（数据保密性、数据完整性、身份校验）

下面是总结必要的几个站点需要HTTPS（电商系统、邮箱等用户主导型网站、支付系统、金融等高私密性网站、以搜索引擎为主要流量来源网站、注重用户体验的网站）

很多站长似乎不了解https站点是怎么回事，这就要从传统站点说起：传统的站点的http超文本传输协议，采用明文传输模式，存在着大量的灰色中 间环节，明文信息在中间代理服务器、路由器、wifi热点、通信服务运营商等层层节点中转，每一层都有可能导致传输数据被窃取或被第三方篡改，此协议被认 为是非常不安全的传输协议。至此https加密协议应运而生，此协议在用户浏览器与服务器之间建立SSL加密通道，将数据加密后进行传输，大大降低了被第 三方窃取或篡改的风险。

在越来越重视网络私密性的今天，https协议站点将成为主流。是不是所有的站点都需要部署SSL证书，才用HTTPS加密传输呢？我认为下面四种类型的网站急需要部署SSL证书。

1、电商系统、邮箱等用户主导型网站

伴随互联网+的火热势头，不少传统行业开始涉足网络营销，大部分有实体产品的企业要打开网络销路选择电商网站为突破口，主要分为C2C、B2C、 B2B三种，此类型网站都是需要用户参与其中，而且都有登录系统，同时记录大量用户信息，邮箱系统尤是，一旦客户信息出现泄漏，对用户和站长都是巨大损 失，采用https加密协议无论从用户角度还是网站角度都是有利而无害的，使用https加密协议也会增加用户对网站的信任度。

2、支付系统、金融等高私密性网站

众所周知，电商系统多依赖支付系统实现成交，支付系统主要通过Internet传输商务信息和进行商务行动，这就要求网络间的数据传递、交换和处理 需要很高的安全性，金融行业与支付系统一样，大量的私密数据交互在网络间传递在不安全的传输协议下进行风险太高，https加密协议可以很好解决这个隐 患。因此，支付系统、金融等对安全性较高的网站是必须做好https加密协议传输的。

3、以搜索引擎为主要流量来源网站

谷歌早就在官博中强调已经调整算法，采用https加密的网站在搜索结果中的排名将会更高。虽然谷歌已经退出中国市场，百度也未明确说明https 站点的排名优先性，但是作为以技术为主导的公司，此声明非常具有引导性，相信不久百度也会在更新算法的同时将https站点的权重提升一个档次。

而以搜索引擎为主要流量的网站，需要时刻关注搜索引擎动态，此次的https协议站点被两大搜索引擎收录并加以重视，无不在向站长们说明https站点的重要性。所以，不要犹豫，赶紧申请SSL证书吧。

4、注重用户体验的网站

在谷歌声明收录https站点之后，火狐浏览器和谷歌浏览器同时做出回应，将会逐步淘汰“不安全”的http协议而谷歌浏览器最新的测试版本中， 用户在试图打开没有使用https加密传输的链接时，浏览器会发出明确警告，用户将会在地址栏左侧看到红色“X”符号。这些细节都是用户体验优先的网站不 能忽视的，与搜索引擎一样，浏览器也在与时俱进，做好https站点可以让用户更放心选择自己。

从发展的眼光看来看，https一定会取代http站点，做好https站点也是未来建站的一个要点，也不局限于上述的几种网站，比如政府网站，学校网站等等能做出https站点的尽量做好，这些对网站都是有利的。

https=http+TLS/SSL

TLS/SSL协议位于应用层协议和TCP之间，构建在TCP之上，由TCP协议保证数据传输的可靠性，任何数据到达TCP之前，都经过TLS/SSL协议处理。

https是加密传输协议，可以保障客户端到服务器端的传输数据安全。用户通过http协议访问网站时，浏览器和服务器之间是明文传输，这就意味着用户填写的密码、帐号、交易记录等机密信息都是明文，随时可能被泄露、窃取、篡改，被第三者加以利用。

安装SSL证书后，使用https加密协议访问网站，可激活客户端浏览器到网站服务器之间的"SSL加密通道"（SSL协议），实现高强度双向加密传输，防止传输数据被泄露或篡改。

---