做开发、运维、建站的朋友，几乎每天都会和 SSH、SSL、HTTPS 打交道。

但很多人始终分不清三者的关系：谁是加密协议，谁是网页安全，谁是远程连接？SSL 和 TLS 有什么区别？为什么 SSH 不用证书，HTTPS 却必须要证书？

不少文章会把这些概念堆在一起，逻辑也比较绕，读完反而更容易混淆。

这里换一种更直白的讲法。按通俗表达、分层逻辑和实战场景，把这三者一次讲清楚。看完后，不管是面试、日常工作，还是实际建站，基本都不容易再搞混。

一、先记住一句话总结

• SSL/TLS：通用加密底层协议（互联网安全底座，所有加密传输的基础）
• HTTPS：套了 TLS 加密的 HTTP（专门给网页、接口用的安全访问协议）
• SSH：独立的远程安全登录协议（专门用来登录服务器、传文件、运维操作）

最简单的类比：

• SSL/TLS 是通用加密锁
• HTTPS 是给网页上锁
• SSH 是给服务器远程开门上锁

二、SSL/TLS：互联网的通用安全底座

1. 是什么？

SSL（安全套接层）是早期加密协议，现在已经淘汰，被TLS全面替代。但行业习惯统称 SSL/TLS。

它的核心作用只有一个：在网络传输层，给数据全程加密、防窃听、防篡改、防中间人攻击。

它不局限于网页，而是互联网通用安全底座。邮件、小程序接口、支付、各类应用传输都依赖它。

2. 核心特性

• 依靠 CA 证书体系 验证服务器身份，杜绝伪装站点
• 默认端口：无固定业务端口，依附上层协议运行
• 加密标准：RSA/ECC SHA256 TLS1.3 现代安全套件

3. 关键误区纠正

我们常说的「SSL证书」，准确来说是 TLS 证书。

现在浏览器、服务器早已不支持老旧 SSL 协议，只是大家习惯性叫 SSL 证书。

三、HTTPS：加密后的网页访问协议

1. 是什么？

HTTPS = HTTP TLS 加密

原生 HTTP 是明文传输，数据裸奔。任何人抓包都能看到账号、密码、订单信息，极度不安全。

给 HTTP 套上一层 TLS 加密外壳，就变成了安全的 HTTPS，也就是浏览器地址栏里的小绿锁。

2. 核心特点

• 默认端口：443（普通 HTTP 是 80）
• 必须配置 SSL/TLS 证书，否则浏览器直接拦截、提示不安全
• 用途：网站访问、后端接口、小程序/APP 网络请求、支付交易

3. 为什么现在全站必须 HTTPS？

放到现在这个环境里看，主流浏览器早就不再接受明文 HTTP 这一套。

搜索引擎会降权，小程序接不进去，接口可能直接被拦截，用户看到也很难建立信任。

说得更直白一点，没有 HTTPS，网站基本就很难正常运转。

四、SSH：服务器运维专属安全协议

1. 是什么？

SSH（安全外壳协议）是独立、专门用于远程服务器管理的加密协议，和 SSL/TLS 完全是两套体系，互不隶属。

早年服务器用 Telnet 明文登录，账号密码直接裸奔，极易被窃取。SSH 应运而生，用来全程加密远程操作。

2. 核心用途（日常开发运维高频使用）

• 远程登录服务器：ssh root@IP
• 远程文件传输：SCP、SFTP
• 远程执行命令、部署项目、配置环境
• Git 仓库 SSH 免密拉取推送代码

3. 核心特点（和 HTTPS 最大区别）

• 默认端口：22
• 不需要 SSL 证书！自带公私钥认证体系
• 认证方式：密码登录 / 本地公私钥免密登录
• 信任逻辑：第一次登录手动确认主机指纹，后续自动信任

五、三者核心区别对照表

对比维度

SSL/TLS

HTTPS

SSH

核心定位

通用加密底层协议

加密网页/HTTP 协议

远程服务器运维协议

依赖关系

独立底层协议

基于 TLS 封装 HTTP

完全独立，不依赖 SSL

默认端口

无固定端口

443

22

是否需要证书

需要 CA 证书

必须配置 SSL/TLS 证书

不需要证书，用公私钥

核心场景

各类网络传输加密底座

网站、接口、浏览器访问

服务器登录、传文件、Git 操作

","rows":6,"cols":4,"id":"5A8yx"}">

六、高频面试/工作误区逐一辟谣

误区1：SSH 是基于 SSL 实现的

错！ 完全两套体系。

SSH 是独立加密协议，自研密钥交互逻辑，和 SSL/TLS 没有任何从属关系，互不兼容、互不通用。

误区2：有了 HTTPS 网站就绝对安全

错！ HTTPS 只保证传输加密。

它只能防窃听、防抓包，无法防 SQL 注入、XSS 攻击、接口越权、业务漏洞。

传输安全 ≠ 业务安全。

误区3：免费 SSL 证书不安全

错！ 加密强度完全一致。

免费和付费证书的 TLS 加密算法、安全等级一模一样，区别只在于身份核验等级、售后兜底、防钓鱼能力。

误区4：SSH 密钥和 SSL 证书密钥是通用的

绝对不通用。

SSH 公私钥用于身份登录认证，SSL 证书用于网站身份可信认证，格式、用途、信任体系完全不互通。

七、极简落地场景

• 搭建网站、上线接口、配置浏览器小绿锁 → 配置 SSL 证书，启用 HTTPS
• 登录云服务器、部署项目、传输文件 → 使用 SSH 协议
• 所有网络加密传输的底层保障 → 依赖 TLS（SSL）协议

八、全文终极总结

• SSL/TLS 是安全底座，负责给各类网络数据做加密传输，是互联网安全的基石
• HTTPS 是网页安全方案，就是加密版 HTTP，专门解决网站明文传输问题，必须配置 SSL 证书
• SSH 是运维工具协议，独立体系，用于服务器远程管理，无需证书、靠密钥认证

三者各司其职、互不冲突：SSH 管服务器登录，HTTPS 管用户访问，SSL/TLS 管底层加密安全。