由于 HTTPS 服务对传输的内容进行了加密，理论上说，只有服务器端和客户端才能正确加密和解密数据，因此，你以前所用的基于云的 WAF （Web 应用防火墙）可能不支持 HTTPS，从而没法为你提供对 XSS 、SQL 注入等应用攻击层面的防护能力了。
通常的安全产品不能很好的支持 HTTPS 网站防护。其原因主要有：
目前的云防护或者是传统安全防护一般都是采用代理的模式。即采用将流量引入到安全防护产品中，通过检测分析，发现异常攻击，然后采取防护措施。但由于 HTTPS 对数据进行了加密，因此防护产品不能在应用层详细的解析出 HTTP 报文内容，自然不能识别攻击与合法流量，从而对威胁攻击束手无策。
由于涉及到建立连接的握手加解密协商，HTTPS 需要消耗的性能通常是 HTTP 的数倍。一般的防护产品没有搭建大规模防护集群的能力，因此无力做到大流量的 HTTPS 防护。
那好吧，你还可以购买硬件的 WAF 防火墙，但是，当 DDoS/CC 攻击和流量攻击如洪水般涌来时，你的 WAF 和线路能支撑多久？
是不是感觉踩下一块板，又翘起来另外一块？由于部署了 HTTPS ，从而导致原本可以防护应用层面攻击的分布式 WAF 服务反而不能用了？
另外，还有一件可能令你感到悲伤的事情，作为访问量蒸蒸日上的你的网站，采用 CDN 提供分布式的访问支持那简直是一定的，但是，目前支持 HTTPS 的 CDN 服务商还很少。
怎么办？难道使用 HTTPS 服务是个错误吗？
我来告诉你一个完整的解决方案……以下是广告时间，阿里云云盾高防产品……什么，原来是软文？！
好吧，我们来谈谈技术问题。
本质上来说，云防护产品支持 HTTPS 是可行的，但是这里需要解决几个问题：
如何透明的解析 HTTPS 流量，并针对流量特征进行分析和处置？
如何避免升级到 HTTPS 所带来的处理能力降低、性能衰减的问题？
针对此种情况，阿里云云盾高防产品特别推出了支持 HTTPS 的应用层防护功能。其技术原理图如下：
阿里云云盾技术原理
实现的步骤为：
用户在云盾高防控制台中导入对应域名的证书和私钥、配置域名信息。
客户端与云盾高防进行 SSL 握手协商，协商通过后，使用云盾颁发的证书及公钥加密数据。
云盾高防进行数据解密，进行安全防护分析后，将合法的流量重新加密传至服务器端，同时阻断掉非法的攻击流量。
服务器端进行数据解密，实现正常业务。
通过以上方式，在客户业务无任何改造的情况下，云盾帮助用户实现了全链路端到端的数据加密。与此同时，由于进行了数据解密，云盾具备了分析应用层数据的能力，因此具备了转发流量到指定地址，进行细粒度安全防护的能力。包括且不限于：
高达 300G 的 DDoS 防护能力。
海量的 CC 攻击防护能力（集群可支持千万级 QPS 的攻击流量清洗）。
Web 应用漏洞攻击的阻断防护能力（包括 SQL 注入、XSS、命令注入、木马 Shell 等通用 Web 攻击形式）。
提供丰富多样的应用层数据报表，不仅包括安全的详细报表，同时也会覆盖到业务访问的数据情况。
支持对部署在阿里云之外的主机的安全防护。
当然，如果您对数据隐私安全性要求比较高，可能会比较担心私钥放在云盾上的安全性。针对这种顾虑，也有对应的私钥安全解决方案。
另外，如果您对于自己部署 HTTPS 服务感觉棘手，阿里云云盾也有计划在近期推出 HTTP 直接变身 HTTPS 的服务，支持 HTTP 用户在无需更改自身业务的前提下，升级变为 HTTPS。