你有没有注意过，每次登录银行或购物网站时，浏览器地址栏前面总会多出一个小锁图标，网址也以 https:// 开头？这个“s”不是随便加的，它背后藏着一套保护你数据安全的机制——而其中的关键，就是 SSL 和 HTTPS 的配合。
HTTPS 不是新协议，而是 HTTP 的“加密版”
HTTP 是我们浏览网页的基础协议，但它有个大问题：传输的数据是明文的。就像写在明信片上的内容，谁都能看到。你输入的密码、手机号、银行卡号，在网络上传输时可能被截获。
HTTPS 就是为了解决这个问题而生的。它本质上还是 HTTP，但在数据发送前，先通过加密手段把内容“锁起来”，只有目标服务器才能解开。这个加密过程，靠的就是 SSL（或它的继任者 TLS）。
SSL 是 HTTPS 的“加密引擎”
SSL（Secure Sockets Layer，安全套接层）是一种加密协议，负责在客户端（比如你的浏览器）和服务器之间建立一条安全通道。当你访问一个 https 网站时，浏览器会和服务器进行一次“握手”，这个过程就由 SSL/TLS 完成。
握手成功后，双方会生成一个临时的加密密钥，之后所有的 HTTP 数据都用这个密钥加密传输。哪怕被中间人截获，看到的也是一堆乱码。
它们的关系一句话就能说清：HTTPS = HTTP + SSL/TLS
你可以把 HTTP 想象成一辆普通的货车，运送网页内容。而 HTTPS 是一辆加了防弹车厢的货车，这辆“防弹车”就是 SSL/TLS 提供的加密层。没有 SSL，HTTPS 就没法实现安全传输。
为什么现在更多听到的是 TLS？
SSL 虽然名字还在广泛使用，但实际上已经被更安全的 TLS（Transport Layer Security）取代。SSL 3.0 之后的版本就改名叫 TLS 1.0 了，现在主流是 TLS 1.2 或 1.3。但大家习惯性地还是把这套机制叫“SSL”，比如“SSL 证书”这种说法依然常见。
SSL 证书从哪来？小锁图标是怎么出现的？
每个启用 HTTPS 的网站，都需要一张 SSL 证书。这张证书由受信任的机构（比如 Let's Encrypt、DigiCert）颁发，用来证明“这个网站确实是它声称的那家”。浏览器收到证书后，会验证它的有效性，通过了才会显示小锁图标。
如果你看到浏览器提示“此网站不安全”，多半是证书过期、域名不符，或者根本没配置 HTTPS。这时候千万别输入敏感信息。
动手看看 HTTPS 背后的细节
在 Chrome 浏览器里，点击地址栏的小锁图标，再点“连接是安全的” > “证书有效”，就能看到当前网站的 SSL 证书信息，包括颁发机构、有效期、加密算法等。这些细节平时看不见，但每分每秒都在保护你的上网安全。