编辑“︁12306”︁（章节）

== 问题 ==

=== 建设费用 ===
尽管官方宣称“新一代客票系统”花费了3.3亿元，却没有列在铁道部2011年的决算中，更没有任何详细支出数据。虽然社会要求公开费用，但是铁道部拒绝公开，并被起诉。之后，由于网站服务器的一次升级，使得购票必须经历长时间的排队，造成购票难度加大，因此广受批评。而2013年1月《21世纪经济报道》经过调查认为该网站建设成本超过5亿元。 《南方都市报》报道称， “新一代客票系统一期工程项目”中标的2个公司价格分别为1.99亿元和1.3亿， 而业内人士称，一般客票系统的造价不会超过3千万元（不包括硬件费用）。

事实上，12306一期工程3个亿（含硬件）的花费，相比百度、阿里巴巴或腾讯一年的巨额开销，并不算贵。

=== 身份证验证漏洞 ===
2014年1月6日，发现使用假身份证可以订票。12306称，该网站未与公安系统联网，对身份证号信息没有审核环节。目前对身份证进行审核环节的，只有车站售票窗口、公安制证窗口和进站验票处及代售点。1月14日，国务院新闻办称，12306网站建立12306联网身份证系统。

2014年3月1日，12306网站启用身份信息核验，未通过核验的身份信息不能完成购票。2015年11月初，12306网站推出了手机双向验证措施。根据铁路部门的消息，用户看到提示信息的旅客，在这3天时间里未验证仍可购票；但3天后旅客还没有完成验证，就会影响购票。

=== 验证码 ===
2014年1月期间，12306网站曾将静态的验证码升级为不断摇动的彩色动态验证码，致使不少抢票软件失效。但这一措施未能有效遏制黄牛党。

后来，12306网站的验证码又升级为图片验证码，其数量多达581种，按照要输入两个关键词的登录规则，用户将有机会尝试336980道不同验证码题目机会，而一次性输入正确的仅为8%，两次成功的比例为27%，65%的人需要三次甚至四次以上才能输对，部分网民为此用Adobe Photoshop等软件制作恶搞版验证码以示讽刺。不过，铁路部门官方回应表示，正在向上级汇报情况，作出相应的调整方案。2015年12月10日，中国铁路总公司表示，12306网站将对图片验证码中的图片的清晰度和分辨率进行调整，并剔调试误率较高的图片。

但这样的验证方式给视障人士带来了不便。在12306网站的验证码升级为图片验证码后，引发全国各地百余名视障人士给铁总写联名建议信，呼吁加强网站无障碍建设，不过铁总对此一直未予回应。2016年1月，有一名视障人士状告中国铁路总公司、中国铁路信息技术中心和中国铁道科学研究院，要求提供无障碍验证服务，同时索赔110元打车费和1元精神损失费。而中国工信部颁布的《网站设计无障碍技术要求》规定了“如果网页中存在非文本验证码，则应提供适合多种残疾人和有特殊需求的健全人使用的不离开当前操作界面的替代表现形式”。2016年9月，北京海淀法院对此案一审宣判，驳回陈文全部诉讼请求。

2016年12月10日，中国铁路总公司表示，为迎接2017年春运，铁路部门将对12306网站进行扩容改造，同时推出在购票环节减少使用验证码的措施，近六成车票发售时旅客不再需要输入验证码。而后到2018年春运，网站购票需要验证码的比例压缩到15%以下，并且图形验证码随每日热门线路的出现而动态出现；同年底，为迎接2019年春运，铁路部门对12306上出现的验证码进行了再优化策略，验证码的出现将控制在5%到10%左右，且仅在热门车次的售票中出现。

=== 证书问题 ===
在新版订票页面中，中国铁路客户服务中心使用了HTTPS以加密数据，但是在2017年12月之前，中国铁路客户服务中心并未采用得到广泛认可的数字证书认证机构的证书，而是采用了由其自己签名的证书，证书机构的名称为“Sinorail Certification Authority”（SRCA）颁发的证书。

当浏览器检测到其根证书库当中没有“SRCA”这个证书时，就出于安全性的因素阻止用户访问网站。为此，12306网站要求用户手动安装根证书以便浏览器放行。此方法并非对所有浏览器有效，在使用某些浏览器时用户需要单独进行设置。

另外，每个SSL数字证书都有一个密钥。一般密钥一旦失窃，正规认证机构及系统厂商就会宣布此证书无效。对于较小的认证机构，一般为证书设立一个证书吊销列表（CRL），当密钥失窃时，证书会自动被列为失效。SRCA的证书没有CRL，系统厂商也不会专门为此发布一个更新。因此黑客可能会利用这个密钥以SRCA的身份发放证书。一旦黑客把这个证书颁发给了一些恶意网站，安装了SRCA证书的浏览器将放行这些网站，无法抵御由此引发的恶意攻击。为此有人建议用户在购票后立刻将SRCA的证书设为不受信任，或者只单独将将购票页面加入浏览器的信任列表。

当用户开始进行支付时（访问到pay.12306.cn），中国铁路客户服务中心则会向用户出示一份Verisign签发的有效证书，但这只能保证用户在支付时的安全。

2017年12月12日，余票查询页面的域名（kyfw.12306.cn）改为使用DigiCert签发的证书，非强制启用HTTPS的首页仍然使用自签名证书。目前，全站均已使用DigiCert签发的证书。

=== 稳定性 ===
中国铁路客户服务中心网站的稳定性曾广遭诟病，如运行期间多次出现“服务器忙”等提示，甚至几度宕机。中国大陆“乌云漏洞报告平台”也曾多次曝出该网站存在安全漏洞。

虽然有着各种各样的问题，但12306在硬件配置上仍是全球性能最强的客运网上售票系统，运行效率较低原因在于客运列车票务系统特殊的数据库结构及其数据更新方式（每买一张车票需要更新相应线路的所有车票数据）。但是，特殊的数据库结构并非12306遭受诟病的唯一原因，问题还在于中国大陆的铁路客运能力面对中国大陆特有的“春运”周期仍显得捉襟见肘，无法同时满足所有旅客的客运需求，在这种时期“一票难求”的问题仍然存在于各普通客运以及高速列车客运线路。

经过5年的运行，12306总体运行已经趋于稳定，在2015年、2016年春运购票高峰期间运行良好，据称12306已经采用阿里巴巴集团的阿里云计算技术。

=== 需要改进 ===
取票后的实名火车票丢失后不能凭身份证退票和改签。12306的网站和客户端至今都没有繁体版界面，简体版无法透过输入繁体字搜索车站。

=== 软件漏洞 ===
2014年7月17日，铁路12306购票软件再次被外界曝光存在安全漏洞，黄牛破解该漏洞后，一个人就可以将全车厢的票买下来。

=== 遭遇撞库攻击 ===
2014年12月25日，一份大小14MB，包含131653条用户名、密码和身份信息的文件在网上传播开来。12306当天发表声明，表示网站数据库所有用户密码均为多次加密的非明文转换码，此次泄漏的信息系经其他网站或管道流出。

铁路公安机关于2014年12月25日晚，将涉嫌窃取并泄露他人电子信息的犯罪嫌疑人蒋某某、施某某抓获。他们通过收集互联网某游戏网站以及其他多个网站泄露的用户名加密码信息，尝试登陆其他网站进行“撞库”，非法获取用户的其他信息，并谋取非法利益。

=== “网络黄牛”黑色产业链 ===
“网络黄牛”利用12306网站大量刷票囤票，供给下游黄牛，这些黄牛再通过QQ、线下、旅行社等各种途径向旅客兜售车票。一些刷票软件都是模拟用户的正常请求去刷票，在技术手段上很难限制这个行为，进而产生了代刷、代抢的利益产业链。