我的个人网站都用上 HSTS 了，大广赛还在 HTTP？

阅读引言
目前，登录页还是 HTTP 的网站，估计很少很少了。但有个网站，自始至终还在 HTTP 处理登录请求。经过网络抓包，发现事情很严重。

这篇文章呢，也算是我的一篇技术类文章，但是我会尽可能讲的通俗易懂。

之前学校叫我们给大广赛交作业，然后发现提交作业的 URL 至今还是 HTTP：http://dgs85.webxun.net:8580/user/login.html?sq=%E4%B8%8A%E6%B5%B7 （不安全网站）。注意，不是 https，而在即将 2027 年的今天，至今还是 http。

我在 9 月 11 号，就对他们提出了意见建议，相关原文公开如下：

word 文档正文：

“关于贵站登录页面 HTTPS 安全部署的建议致全国大学生广告艺术大赛：您好！在访问贵站的登录页面（http://dgs85.webxun.net:8580/user/login.html?sq=%E4%B8%8A%E6%B5%B7 ）时，发现贵网站的登录页面目前仍通过 HTTP 提供服务，页面涉及邮箱地址/手机号码及账户密码等登录信息。将协议改为 HTTPS 后（https://dgs85.webxun.net:8580/user/login.html?sq=%E4%B8%8A%E6%B5%B7 ），浏览器返回 ERR_SSL_PROTOCOL_ERROR，目前无法通过 HTTPS 正常访问该登录页面。建议尽快为登录及相关业务页面部署 HTTPS，并将 HTTP 请求强制重定向至 HTTPS；在确认全站 HTTPS 正常后，可进一步部署 HSTS，以进一步加强网站的安全性。Mcenahle2026年9月11日”

然后在今天再次网上冲浪时，发现该页面还是 http。于是和 ChatGPT 讨论后，进行了一番 wireshark 网络抓包。经 Wireshark 抓包检查，发现登录请求仍通过未加密的 HTTP 发送，请求正文包含账号和密码字段，同时还传输了会话相关 Cookie。以下是抓包截图：

在 https 已经全面普及化，任何人都能获得 Let’s Encrypt 签发的证书的现在，完全不应该。

这也是我的网站，比如博客网站走 .page 的原因。感谢 Google Registry，Google Registry 在推出 .page 和 .dev 顶级域名时，就将它们纳入 HSTS 预加载列表，使支持该列表的浏览器默认强制使用 HTTPS 访问这些域名下的网站。若以 HTTP 访问，则直接跳回HTTPS。虽然本地开发使用这些很难了，但有效的维护了网络安全。

在此再次呼吁赛事平台相关运营方，尽快完成 HTTPS 安全部署，妥善保护用户的账号与个人信息。千年虫问题的历史提醒我们，技术风险应当提前识别、及时防范。如今，相关安全隐患已经明确，不应等到造成实际损失后才采取行动。

及时整改，避免风险进一步扩大，才是当前最需要解决的问题。

（709字；2026年10月14日夜于上海图书馆（东馆））