信息加密是网站安全的第一步

随着人们网络安全意识的不断增强，数据安全变成一件非常重要的事。无论是Facebook用户数据泄露，还是欧盟《GDPR》的施行，都让数据安全成为企业关注的“头等大事”。

在数据泄露方式中，很大一部分来自网站。攻击者利用网站漏洞，进行入侵，窃取网站注册用户个人数据。比如，2018年4月，美国最大面包连锁店Panerabread表示，旗下网站panerabread.com泄露了3700万用户信息。6月13日，AcFun弹幕视频网发出公告称，它们有800-1000万左右的用户数据被黑客窃取。

可以说，做好网站安全，是防止用户数据泄露的重要方式。网站安全的最低标准是对网站信息加密——对用户数据加密，以保证用户不被泄露。目前，HTTPS成为网站信息加密的最佳实现。以前，我们打开一个网站，均是以HTTP协议开头。但是后来，HTTP协议存在很大的安全性，容易泄露网站数据，于是许多网站使用HTTPS协议。

以火狐浏览器为测试工具，你可以对一个http://开头的网址进行访问，结果火狐浏览器会提示你：警告：面临潜在的安全风险。当Firefox连接到一个安全的网站时(网址最开始为“https://”)，它必须确认该网站出具的证书有效且使用足够高的加密强度，以充分保护你的隐私。如果无法验证，Firefox会中止连接到这个网站，并向您显示错误信息页面：警告：有风险。

HTTPS是在HTTP协议上增加了“S”，“S”意思是加密。据悉，普通的HTTP协议采用的是数据明文传输，因此当用户在传输个人私密信息时，会存在信息被截获的风险。HTTPS协议在数据传输之前，适用SSL证书对数据包进行加密，加密后的密文再进行网络传输，这样数据即使在传输的过程中被第三方所截获，截获者也无法破译密文，用户数据仍然安全。

如果你的网站还是HTTP开头，那么赶紧升级到HTTPS。你需要在你的Web服务器中安装部署一张SSL证书。这张证书是由CA机构所签发的，SSL证书中包含了用于进行非对称加密的公钥，在数据传输前，浏览器会适用SSL证书中的公钥对数据进行非对称加密。

新的网站安全机制中，SSL证书变得非常重要。目前，SSL证书分为三类：EV SSL证书、OV SSL证书和DV SSL证书。

EV SSL证书：又称为扩展验证型SSL证书，提供最高级别的信任和身份验证。EV证书网站，会在浏览器中显示绿色地址栏，更会突出显示公司名称，从视觉上提供一种直观的的信任保证。EV SSL证书支持256位加密强度，支持ECC和RSA双算法，最大限度地保障您的网站安全。EV SSL证书是目前最高端的服务器证书产品。

OV SSL证书：该证书除了验证网站域名外，还会对网站的所有企业进行严格的身份认证审核。通过审核的企业单位才能签发证书，以此来保证网站的真实性和合法性。部署了OV证书的网站，在浏览器地址栏中会出现“安全锁”图标，并且可以在SSL证书中查看到网站所属企业名称，能为用户有效地区分出钓鱼网站，鉴别出网站的真实身份。

DV SSL证书：是一款只对网站域名进行验证的SSL证书。DV证书同样可以对客户端浏览器数据进行加密后传输，保证了传输链路上的数据安全，但由于DV证书不对网站所有者的身份进行审核，因此无法确定网站的真实身份，在安全级别上远低于EV证书和OV证书。

既然证书变得很重要，那么就会出现一些糟糕的证书。火狐浏览器提到：大多数浏览器，包括Firefox，都不信任来自GeoTrust、RapidSSL、Symantec、Thawte和VeriSign的证书，因为它们过去都没有遵守证书机构的安全纪律。