你有没有遇到过这种情况：打开一个网站，地址栏是绿色的 HTTPS，小锁图标也正常，但页面就是卡在那里半天加载不出来。而换成另一个 HTTP 的站点，反而刷一下就开了。其实，HTTPS 虽然更安全，但它变慢并不是偶然，背后有不少技术原因在起作用。
加密握手过程比 HTTP 多几步
HTTP 是明文传输，浏览器一连上服务器，立马就能要数据。但 HTTPS 不一样，它得先“打招呼”——这个过程叫 TLS 握手。客户端和服务器要协商加密算法、交换密钥、验证证书，这一套流程走下来，通常得多花 100 到 300 毫秒。尤其在移动网络信号不稳定的时候，来回几次确认，延迟就更明显了。
SSL/TLS 证书验证耗时间
每次访问 HTTPS 网站，浏览器还得去检查证书是不是有效。它会查证书有没有被吊销，这可能需要访问 OCSP（在线证书状态协议）服务器。有些网站用的证书链比较长，或者证书服务商响应慢，验证环节就会拖后腿。比如你在咖啡馆连 Wi-Fi 打开银行页面，有时候会明显感觉“顿了一下”，很可能就是在等证书验证结果。
服务器资源消耗更高
加密和解密数据不是免费的。服务器处理 HTTPS 请求时，CPU 得额外干活。尤其是访问量大的站点，如果服务器配置不够，或者没开启 TLS 加速（比如 OpenSSL 硬件加速），响应速度自然下降。就像家门口的小超市突然要求每笔交易都录像存档，结账速度肯定受影响。
CDN 配置不当拖累 HTTPS
很多网站用 CDN 加速内容分发，但如果 CDN 没配好 HTTPS，或者节点之间仍用 HTTP 中转，安全性和速度都会打折扣。比如你在北京访问一个部署在美国的 HTTPS 站点，如果 CDN 节点没做 TLS 会话复用，每次请求都重新握手，那加载时间只会更长。
HTTP/2 和 HTTPS 组合才更快
很多人不知道，HTTP/2 协议其实是依赖 HTTPS 推广起来的。如果你的网站支持 HTTP/2，多个资源可以并行加载，反而比老式 HTTP 更快。但前提是服务器和浏览器都得支持。你可以打开 Chrome 的开发者工具，看 Network 标签下 Protocol 一栏是不是显示 h2。如果不是，那可能还在用老协议跑 HTTPS，效率自然不高。
本地设备性能影响体验
老手机或低配笔记本在处理 HTTPS 加密时也可能吃力。特别是运行多年的老系统，TLS 库版本旧，加解密效率低。比如你用一台五年前的安卓机打开 HTTPS 新闻站，可能发现图片加载慢半拍，而同事的新手机却流畅无比，差别就在这里。
如何判断是不是 HTTPS 导致的慢
可以试试在同一个网络下对比访问两个相似网站，一个 HTTPS，一个 HTTP。用浏览器的“检查”功能看加载各阶段耗时，重点关注 “Waiting (TTFB)” 和 “SSL” 阶段。如果 SSL 耗时超过 200ms，基本可以确定是加密过程拖累了速度。
当然，安全比速度更重要。现在绝大多数正规网站都强制 HTTPS，不能因为慢就退回去用不加密的连接。优化的方向应该是升级服务器、启用会话复用、使用高效的 TLS 版本（比如 TLS 1.3），而不是放弃加密。