打开浏览器，网站地址栏里如果写着“http://”开头，网站而不是网站“https://”，那这个网站的网站数据传输就是明文的。说白了，网站你在上面填的网站账号密码，在同一个WiFi下的网站人用抓包工具就能看见。这不是网站危言耸听，我去年在一家咖啡馆连公共网络，网站随手试了一下，网站隔壁桌登录某个论坛的网站全过程看得一清二楚——那个论坛就是http的。

现在还在用http的网站网站，大致分几类。网站第一类是网站老旧的企业内部系统，比如一些工厂的网站ERP、学校的教务查询。我见过一个县级医院的挂号页面，2023年了还是http，医生自己都说“别在外面连WiFi用”。第二类是个人博客或小论坛，站长图省事，或者服务器太老懒得折腾证书。第三类是某些政府或机构的公示页面，只读不写，他们觉得“反正没隐私”。但这个逻辑有问题——只读页面也能被篡改，你看到的通知可能不是真的。

具体有哪些？举几个我亲自碰到的例子。某省人才市场的档案查询入口，http，要填身份证号。某大学图书馆的旧版检索系统，http，能查到借阅记录。还有一些地方论坛，比如“XX市钓鱼爱好者联盟”，http，登录后能看到用户手机号。这些不是编的，你拿浏览器开发者工具看网络请求，协议那一栏写着http/1.1。

为什么它们不改？成本是一方面。https证书现在虽然免费的多，但老系统改起来麻烦——混合内容、硬编码的http链接、老旧的负载均衡配置，弄不好整个站就挂了。我帮朋友改过一个十年前的企业站，光是把图片链接从http换成https就花了两个晚上。另一方面，很多管理者压根不知道区别。我问过一个单位的信息员，他说“我们内网，没事”。可内网也有ARP欺骗，也有员工连手机热点。

浏览器现在对http的态度很直接。Chrome地址栏会显示“不安全”，Firefox更狠，填密码的时候直接弹警告。但用户往往点“继续访问”。我观察过身边的人，十个里有八个不看那个警告。这不能全怪用户，有些网站只支持http，你不上就办不了事。比如某个县的公积金查询，只有http入口，你说怎么办？

如果你必须访问http网站，几个习惯能保命。别填真实密码，用一次性邮箱注册。别在公共WiFi下操作，手机流量相对安全。看看页面有没有“锁”图标——没有的话，任何个人信息都别输。我自己的做法是，遇到http登录页，直接关掉。除非是查公开信息，比如天气预报、新闻列表，那无所谓。但只要是登录框，一律不碰。

未来http会越来越少，但不会消失。就像现在还有人用IE6一样，总有一些角落被遗忘。去年有个安全报告说，全球仍有约15%的网站默认http。这个数字在下降，但绝对数量依然吓人。你随手搜一个“XX市XX局”，前几页可能就藏着几个http的。别觉得奇怪，这就是现实。

最后说个真事。我朋友在一个http论坛上注册，用了和某宝相同的密码。三个月后，他的某宝账号被盗，刷了两千多。查日志，攻击者就是从那个论坛的数据库里拿到明文密码的。论坛后来关了，但损失已经在了。所以，看到http，就当它是街边没锁的公共信箱——你可以往里投信，但别指望里面东西安全。