前阵子有个做建材生意的朋友找我，说他们公司官网被人投诉了，原因是浏览器打开直接弹"不安全"警告，客户还以为是钓鱼网站。我问他你网站没装SSL证书？他一脸茫然，说建站的时候好像是提过这个事，当时觉得多此一举就没管。
其实这种情况挺常见的。很多中小企业老板对SSL证书的认知，基本停留在"听说过"这个阶段。技术人员建议装，老板一想又得花钱又得折腾，就先放着。反正网站就放点公司简介和产品图，又不搞电商，能出什么事？
但现在的互联网环境跟几年前真的不一样了。
Chrome浏览器现在对没装SSL证书的HTTP站点，地址栏直接标"不安全"，这可不是一个小提示，访客一眼就能看到。你想想，一个潜在客户搜到你的官网，点进去第一眼看见"不安全"三个字，什么感受？还没看到你的产品介绍呢，心里就先打了个问号。第一印象这东西坏了，后面想补回来就难了。
还有搜索引擎这块。Google很早之前就把HTTPS纳入了排名因素，百度那边虽然没那么高调，但实际操作中HTTPS站点在收录和排名上确实沾光。企业花钱做SEO优化、投竞价广告，折腾半天好不容易把流量引进来了，结果因为没装证书，排名比同行低那么几名，这不亏得慌吗？
可能有人要说，我又不做在线支付，黑客盯我干嘛？这个想法放在五六年前我能理解，但现在真不能这么想了。有一种攻击叫中间人攻击，它不挑食，不看你是不是电商网站，它盯的是数据传输这条通道。你的客户在咖啡厅连着公共WiFi打开你网站，中间任何一个节点都可能被做手脚——页面内容被篡改、被塞进一段钓鱼代码，甚至直接跳转到仿冒页面。到时候客户受了损失找谁？找你。因为是从你的网站出去的。你跟客户解释说"我也不知道怎么回事"，你觉得客户会信吗？
这种事最麻烦的地方在于，它不是你主动犯的错，但后果你得扛。品牌信誉受损、客户流失，搞不好还得面对投诉甚至法律层面的问题。
说到法律，这几年《网络安全法》《数据安全法》陆续落地，对企业网站数据保护的要求肉眼可见地在收紧。虽然条文里没有单独拎出来说"你必须装SSL证书"，但"采取技术措施保障数据传输安全"这句话写得明明白白，而SSL/TLS加密就是最直接、最基础的落地方式。尤其是金融、医疗、教育这些行业，这块基本已经是硬指标了，不装就是给自己埋雷。
说到费用，这也是很多老板纠结的点。其实SSL证书现在真不贵，域名验证型的免费就能拿到，企业验证型的一年也就几百块到一千出头。跟一次数据泄露可能带来的损失比，这点钱几乎可以忽略不计。而且现在主流的云平台、建站工具都支持一键部署，早就不需要技术人员手动去改服务器配置了，十分钟能搞定的事。
我那个建材行业的朋友后来还是装了，装完跟我说，早知道这么简单，当初建站的时候就应该一起弄好。我说你这算是花钱买了个教训，好在不贵。
所以企业网站到底需不需要SSL证书？我的看法是，这不是一个"需不需要"的问题，而是一个"什么时候装"的问题。答案是越早越好，最好是建站的时候就一起搞定。拖着不装，省下来的是几百块钱的证书费，赌上的是你整个网站的可信度。