1 前言
https在保護用戶隱私，防止流量劫持方面發(fā)揮著非常關(guān)鍵的作用，但與此同時，https也會降低用戶訪問速度，增加網(wǎng)站服務(wù)器的計算資源消耗。
本文主要介紹https對用戶體驗的影響。
本文最早發(fā)表于百度運維部官方博客
2 https對訪問速度的影響
在介紹速度優(yōu)化策略之前，先來看下https對速度有什么影響。影響主要來自兩方面：
1. 協(xié)議交互所增加的網(wǎng)絡(luò)rtt(round trip time)。
2. 加解密相關(guān)的計算耗時。
下面分別介紹一下。
2.1 網(wǎng)絡(luò)耗時增加
由于 http和https都需要dns解析，并且大部分情況下使用了dns緩存，為了突出對比效果，忽略主域名的dns解析時間。
用戶使用http協(xié)議訪問http://www.baidu.com(或者www.baidu.com)時會有如下網(wǎng)絡(luò)上的交互耗時：
可見，用戶只需要完成tcp三次握手建立tcp連接就能夠直接發(fā)送http請求獲取應(yīng)用層數(shù)據(jù)，此外在整個訪問過程中也沒有需要消耗計算資源的地方。
接下來看https的訪問過程，相比http要復(fù)雜很多，在部分場景下，使用https訪問有可能增加7個rtt。如下圖：
https首次請求需要的網(wǎng)絡(luò)耗時解釋如下：
1. 三次握手建立tcp連接。耗時一個rtt。
2. 使用http發(fā)起get請求，服務(wù)端返回302跳轉(zhuǎn)到https://www.baidu.com。需要一個rtt以及302跳轉(zhuǎn)延時。
a) 大部分情況下用戶不會手動輸入https://www.baidu.com來訪問https，服務(wù)端只能返回302強制瀏覽器跳轉(zhuǎn)到https。
b) 瀏覽器處理302跳轉(zhuǎn)也需要耗時。
3. 三次握手重新建立tcp連接。耗時一個rtt。
a) 302跳轉(zhuǎn)到https服務(wù)器之后，由于端口和服務(wù)器不同，需要重新完成三次握手，建立tcp連接。
4. tls完全握手階段一。耗時至少一個rtt。
a) 這個階段主要是完成加密套件的協(xié)商和證書的身份認證。
b) 服務(wù)端和瀏覽器會協(xié)商出相同的密鑰交換算法、對稱加密算法、內(nèi)容一致性校驗算法、證書簽名算法、橢圓曲線(非ecc算法不需要)等。
c) 瀏覽器獲取到證書后需要校驗證書的有效性，比如是否過期，是否撤銷。
5. 解析ca站點的dns。耗時一個rtt。
a) 瀏覽器獲取到證書后，有可能需要發(fā)起ocsp或者crl請求，查詢證書狀態(tài)。
b) 瀏覽器首先獲取證書里的ca域名。
c) 如果沒有命中緩存，瀏覽器需要解析ca域名的dns。
6. 三次握手建立ca站點的tcp連接。耗時一個rtt。
a) dns解析到ip后，需要完成三次握手建立tcp連接。
7. 發(fā)起ocsp請求，獲取響應(yīng)。耗時一個rtt。
8. 完全握手階段二，耗時一個rtt及計算時間。
a) 完全握手階段二主要是密鑰協(xié)商。
9. 完全握手結(jié)束后，瀏覽器和服務(wù)器之間進行應(yīng)用層(也就是http)數(shù)據(jù)傳輸。
當然不是每個請求都需要增加7個rtt才能完成https首次請求交互。大概只有不到0.01%的請求才有可能需要經(jīng)歷上述步驟，它們需要滿足如下條件：
1. 必須是首次請求。即建立tcp連接后發(fā)起的第一個請求，該連接上的后續(xù)請求都不需要再發(fā)生上述行為。
2. 必須要發(fā)生完全握手，而正常情況下80%的請求能實現(xiàn)簡化握手。
3. 瀏覽器需要開啟ocsp或者crl功能。chrome默認關(guān)閉了ocsp功能，firefox和ie都默認開啟。
4. 瀏覽器沒有命中ocsp緩存。ocsp一般的更新周期是7天，firefox的查詢周期也是7天，也就說是7天中才會發(fā)生一次ocsp的查詢。
5. 瀏覽器沒有命中ca站點的dns緩存。只有沒命中dns緩存的情況下才會解析ca的dns。
2.2 計算耗時增加
上節(jié)還只是簡單描述了https關(guān)鍵路徑上必須消耗的純網(wǎng)絡(luò)耗時，沒有包括非常消耗cpu資源的計算耗時，事實上計算耗時也不小(30ms以上)，從瀏覽器和服務(wù)器的角度分別介紹一下：
1， 瀏覽器計算耗時
a) rsa證書簽名校驗，瀏覽器需要解密簽名，計算證書哈希值。如果有多個證書鏈，瀏覽器需要校驗多個證書。
b) rsa密鑰交換時，需要使用證書公鑰加密premaster。耗時比較小，但如果手機性能比較差，可能也需要1ms的時間。
c) ecc密鑰交換時，需要計算橢圓曲線的公私鑰。
d) ecc密鑰交換時，需要使用證書公鑰解密獲取服務(wù)端發(fā)過來的ecc公鑰。
e) ecc密鑰交換時，需要根據(jù)服務(wù)端公鑰計算master key。
f) 應(yīng)用層數(shù)據(jù)對稱加解密。
g) 應(yīng)用層數(shù)據(jù)一致性校驗。
2， 服務(wù)端計算耗時
a) rsa密鑰交換時需要使用證書私鑰解密premaster。這個過程非常消耗性能。
b) ecc密鑰交換時，需要計算橢圓曲線的公私鑰。
c) ecc密鑰交換時，需要使用證書私鑰加密ecc的公鑰。
d) ecc密鑰交換時，需要根據(jù)瀏覽器公鑰計算共享的master key。
e) 應(yīng)用層數(shù)據(jù)對稱加解密。
f) 應(yīng)用層數(shù)據(jù)一致性校驗。
由于客戶端的cpu和操作系統(tǒng)種類比較多，所以計算耗時不能一概而論。手機端的https計算會比較消耗性能，單純計算增加的延遲至少在50ms以上。pc端也會增加至少10ms以上的計算延遲。
服務(wù)器的性能一般比較強，但由于rsa證書私鑰長度遠大于客戶端，所以服務(wù)端的計算延遲也會在5ms以上。


怎么做網(wǎng)站設(shè)計才算標準？
百度對SEO優(yōu)化過分的態(tài)度
什么是百度人工詞?SEO優(yōu)化要如何避免?
外貿(mào)營銷：海外社交媒體營銷tips
網(wǎng)站建設(shè)中如何使用顏色建立登陸頁面
網(wǎng)站優(yōu)化的基本流程有哪些
租用香港服務(wù)器到底有哪些優(yōu)勢和好處?
外貿(mào)網(wǎng)站建設(shè)跟普通網(wǎng)站建設(shè)的區(qū)別是什么？