只有注册登录页，才需要服务器证书（以国外网站为例，国内网站同样适用）
这种想法很普遍。人们觉得，服务器证书可以保护用户的密码，此外就不需要了。Firefox浏览器新插件Firesheep，证明了这种想法是错的。我们可以看到，在Twitter和Facebook上，劫持其他人的session是非常容易的。
咖啡馆的免费WiFi，就是一个很理想的劫持环境，因为两个原因：
1. 这种WiFi通常不会加密，所以很容易监控所有流量。
2. WiFi通常使用NAT进行外网和内网的地址转换，所有内网客户端都共享一个外网地址。这意味着，被劫持的session，看上去很像来自原来的登录者。
以Twitter为例，它的登录页使用了HTTPS，但是登录以后，其他页面就变成了HTTP。这时，它的cookie里的session值就暴露了。
也就是说，这些cookie是在HTTPS环境下建立的，但是却在HTTP环境下传输。如果有人劫持到这些cookie，那他就能以你的身份在Twitter上发言了。
基于此种情况，目前国内服务器证书已经被部署在社交网站、银行、电商、政务、电子邮件等各个领域，保障用户信息不被非法窃取利用，即信息传输过程中的安全。
