摘要

  • 网景在 1994 年 12 月已把 SSL 列入 Commerce Server；后来的工程史料称 Navigator 1.0 支持 SSL 2.0。
  • SSL 3.0 在 1996 年 11 月仍是过期的 IETF Internet-Draft，直到 2011 年 RFC 6101 才成为稳定的历史引用。

最早的证据不是标准文件。1994 年 12 月，网景宣布推出 Navigator 1.0 和 Netsite 服务器系列。当时的新闻稿称 Commerce Server 集成了基于 RSA Data Security 技术的 Secure Sockets Layer，并把客户端和服务器组合描述为可用于互联网商业交易。这是公司的产品发布说法，不是独立的安装量统计。但它足以说明，SSL 已随商业产品面向公众提供，而稳定的标准记录仍未形成。

网景安全代码的后续工程史补充了新闻稿没有给出的版本信息：Navigator 1.0 的安全代码只支持 SSL 2.0，Navigator 2.0 才增加 SSL 3.0。该史料还称，安全代码后来被移植到 Netscape 2.0 服务器。这是第一方的工程回忆，不是完整的出货清单；应与同期产品公告互相参照，而非互相替代。

1995 年的记录显示，协议开始以技术文档的形式公开。一份保存下来的档案把 Kipp Hickman 与 Taher Elgamal 合著的《The SSL Protocol》标为 1995 年 6 月的 Internet-Draft。Mozilla 档案中的 2 月版本解释，SSL 是与应用协议无关的一层：在应用数据传输前，握手会协商密码参数并验证服务器身份。这些文件描述了可实现的行为，但草案身份并不等于获批的互联网标准，也不能保证所有实现都互通。

SSL 3.0 的记录把这种区别展现得格外清楚。IETF Datatracker将 draft-ietf-tls-ssl-version3-00 标记为已过期的 Internet-Draft，最后更新于 1996 年 11 月 21 日，预期 RFC 状态为空；文档本身的日期是 11 月 18 日。2011 年，RFC 6101 才把这一版作为历史记录发布。它的前言指出，SSL 3.0 已被广泛实现，也是 TLS 的基础，但 IETF 此前并未正式发布它，只有若干过期的 Internet-Draft，因此缺少便于引用的稳定文本。RFC 6101 的作用是补上历史引用，并没有把 SSL 3.0 追认为标准轨道规范。

这段时间线并不表示 SSL 没有规范，也不表示标准组织没有参与。不同材料回答的是不同问题：产品公告说明公司提供了什么；代码史料说明某一代客户端支持什么；草案让协议能够被审查、修改；已发布的 RFC 则提供长期可引用的文本和明确状态。任何一类材料都不能单独证明普遍部署或各实现行为一致。

因此，采用并非一个瞬间。可运行的软件可以先于稳定规范吸引使用者；草案可以改善互操作，却不能替互操作背书；后来发布的历史 RFC 可以让旧协议更容易查证，却不代表它仍然安全或适合使用。对 SSL 而言，产品、工作文本和稳定引用分别按不同节奏到来。