你有没有留意浏览器地址栏，有时候会出现小锁图标，有的页面标注不安全，还有的显示感叹号。我之前没有在意这些标识，直到一次在不带小锁标识的网站填写手机号，第二天就接到一堆推销电话，之后才慢慢了解，这个小锁对应的就是SSL证书，它和网站传输安全直接挂钩。
SSL证书本质是一份数字凭证，同时承担加密通道密钥的作用。访问网站时浏览器会和服务器建立通信，服务器把证书发送过来。浏览器校验证书真伪、是否过期、是否匹配当前访问域名。校验通过之后，双方协商加密规则，后续提交的密码、银行卡信息、聊天内容全部加密传输。就算传输数据包被拦截，拿到手也只是一堆无法解读的乱码。
没有部署SSL证书的网站，数据采用明文传输。填写的账号密码在网络传输过程，就像写在明信片上，传输链路各个节点都有可能被读取。公共WiFi、企业内网、运营商节点理论上都能抓取内容。还有更麻烦的问题，恶意站点可以伪装成银行或者购物网站，缺少证书校验机制，很难分辨访问的服务器是不是真实目标站点。
证书还能起到防篡改效果。传输途中如果有人修改内容，比如替换收款账号、篡改页面文字，加密校验信息对不上，浏览器就会报错。缺少这层防护，页面展示内容可能已经不是网站原始内容。
对网站运营人员来说，部署SSL证书最直观变化就是网址前缀从http换成https，地址栏出现小锁图标。这个变化带来的用户心理影响比想象更大。两个商品页面，一个标注安全，一个提示不安全，大部分用户会选择前者。尤其是填写个人信息、下单支付场景，没有安全锁，用户大概率直接关闭页面。搜索引擎层面同样有影响，百度、Google都把HTTPS作为网页排名参考因素，同等条件下部署证书站点更容易获得更好排名。
证书分成不同类型，身份核验严格程度不一样。基础版本只核验域名归属权，几分钟就能完成签发，个人博客、小型展示站点适合使用。更高一级需要核验企业真实资质，证书信息会展示企业名称，电商、正规企业官网适合选用。最高等级审核流程严苛，大多用于金融、支付、政务系统。但普通用户使用时，各类证书加密能力差距不大，区别集中在身份核验强度以及浏览器展示信息。
申请证书流程不算复杂。很多云服务商提供免费证书，有效期三个月，支持自动续期。付费证书价格更高，但维护省心，一年续费一次，支持多域名、通配符域名。证书部署完成一定要配置自动续期，忘记续费导致证书过期，浏览器弹出红色安全警告，用户看到提示基本会直接离开网站。
有一点要分清，部署SSL证书不等于网站本身绝对安全。证书只保障传输环节的数据安全，无法管控服务器漏洞、程序后门、数据库是否被盗。网站就算配置最高等级证书，如果后台登录密码设置成简单的123456，攻击者依旧能够入侵。证书属于安全防护体系其中一环，不是全部防护手段。但是传输加密属于基础防护，缺少证书，其他安全措施做得再好，数据在传输阶段就存在泄露风险。
所以之后浏览网页看到地址栏小锁，可以理解成一个信号：这个网站至少在数据传输环节做了基础防护。要是页面没有安全锁，还打算填写身份证、银行卡信息，就需要谨慎考虑。