中国铁路客户服务中心

尽管官方宣称“新一代客票系统”花费了3.3亿元，却没有列在铁道部2011年的决算中，更没有任何详细支出数据。[24]虽然社会要求公开费用，但是铁道部拒绝公开，并被起诉。[25]之后，由于网站服务器的一次升级，使得购票必须经历长时间的排队，造成购票难度加大，因此广受批评。[26]而2013年1月《21世纪经济报道》经过调查认为该网站建设成本超过5亿元。[27][28] 《南方都市报》報道称， “新一代客票系统一期工程项目”中标的2个公司价格分别为1.99亿元和1.3亿， 而业内人士称，一般客票系统的造价不会超过3千万元（不包括硬件費用）[29]。

事實上，12306一期工程3个億（含硬件）的花費，相比百度、阿里巴巴或腾讯一年的巨額開銷，並不算貴[30]。

2014年1月6日，發現使用假身份證可以訂票。12306稱，該網站未與公安系統聯網，对身份证号信息没有审核环节。目前对身份证进行审核环节的，只有车站售票窗口、公安制证窗口和进站验票处及代售点[31]。1月14日，国务院新闻办稱，12306網站建立12306联网身份证系统[32]。

2014年3月1日，12306网站启用身份信息核验，未通过核验的身份信息不能完成购票[33]。2015年11月初，12306网站推出了手机双向验证措施。根据铁路部门的消息，用户看到提示信息的旅客，在这3天时间里未验证仍可购票；但3天后旅客还没有完成验证，就会影响购票[34][35]。

2014年1月期間，12306網站曾将静态的验证码升級爲不断摇动的彩色动态验证码，致使不少抢票软件失效[36]。但這一措施未能有效遏制黃牛黨[37]。

12306网站图片验证码输入页面模拟

后来，12306网站的验证码又升级为图片验证码，其数量多达581种，按照要输入两个关键词的登录规则，用户将有机会尝试336980道不同验证码题目机会，而一次性输入正确的仅为8%，两次成功的比例为27%，65%的人需要三次甚至四次以上才能输对，部分网民为此用Adobe Photoshop等软件制作恶搞版验证码以示讽刺。[38]不过，铁路部门官方回应表示，正在向上级汇报情况，作出相应的调整方案[39][40]。2015年12月10日，中国铁路总公司表示，12306网站将对图片验证码中的图片的清晰度和分辨率进行调整，并剔除错误率较高的图片[41]。

但这样的验证方式给视障人士带来了不便。在12306网站的验证码升级为图片验证码后，引发全国各地百余名视障人士给铁总写联名建议信，呼吁加强网站无障碍建设，不过铁总对此一直未予回应。2016年1月，有一名视障人士状告中国铁路总公司、中国铁路信息技术中心和中国铁道科学研究院，要求提供无障碍验证服务，同时索赔110元打车费和1元精神损失费。而中国工信部颁布的《网站设计无障碍技术要求》规定了“如果网页中存在非文本验证码，则应提供适合多种残疾人和有特殊需求的健全人使用的不离开当前操作界面的替代表现形式”[42]。2016年9月，北京海淀法院对此案一审宣判，驳回陈文全部诉讼请求[43]。

2016年12月10日，中国铁路总公司表示，为迎接2017年春运，铁路部门将对12306网站进行扩容改造，同时推出在购票环节减少使用验证码的措施，近六成车票发售时旅客不再需要输入验证码[44]。而后到2018年春运，网站购票需要验证码的比例压缩到15%以下，并且图形验证码随每日热门线路的出现而动态出现；同年底，为迎接2019年春运，铁路部门对12306上出现的验证码进行了再优化策略，验证码的出现将控制在5%到10%左右，且仅在热门车次的售票中出现[45]。

在新版订票页面中，中国铁路客户服务中心使用了HTTPS以加密数据，但是在2017年12月之前，中国铁路客户服务中心并未采用得到广泛认可的数字证书认证机构的证书，而是采用了由其自己签名的证书，证书机构的名称为“Sinorail Certification Authority”（SRCA）颁发的证书。

当浏览器检测到其根证书库当中没有“SRCA”这个证书时，就出于安全性的因素阻止用户访问网站。为此，12306网站要求用户手动安装根证书以便浏览器放行[46]。此方法并非对所有浏览器有效，在使用某些浏览器时用户需要单独进行设置。

另外，每个SSL数字证书都有一个密钥。一般密钥一旦失窃，正规认证机构及系统厂商就会宣布此证书无效[47]。对于较小的认证机构，一般为证书设立一个证书吊销列表（CRL）[48]，当密钥失窃时，证书会自动被列为失效。SRCA的证书没有CRL，系统厂商也不会专门为此发布一个更新[49]。因此黑客可能會利用这个密钥以SRCA的身份发放证书。一旦黑客把这个证书颁发给了一些恶意网站，安装了SRCA证书的浏览器将放行这些网站，无法抵御由此引发的恶意攻击。为此有人建议用户在购票后立刻将SRCA的证书设为不受信任，或者只单独将将购票页面加入浏览器的信任列表。

当用户开始进行支付时（访问到pay.12306.cn），中国铁路客户服务中心则会向用户出示一份Verisign签发的有效证书，但这只能保证用户在支付时的安全。

2017年12月12日，余票查询页面的域名（kyfw.12306.cn）改为使用DigiCert签发的证书，非强制启用HTTPS的首页仍然使用自签名证书。目前，全站均已使用DigiCert签发的证书。[50]

中国铁路客户服务中心网站的稳定性曾广遭诟病，如运行期间多次出现“服务器忙”等提示，甚至几度宕机。[51][52][53][54]中国大陆“乌云漏洞报告平台”也曾多次曝出该网站存在安全漏洞。[55]

虽然有着各種各樣的問題，但12306在硬件配置上仍是全球效能最強的客運網上售票系统，運行效率較低原因在於客運列車票務系統特殊的数据库結構及其数据更新方式（每買一張車票需要更新相應線路的所有車票数据）。但是，特殊的数据庫結構并非12306遭受诟病的唯一原因，問題还在于中國大陸的鐵路客運能力面对中國大陸特有的「春運」周期仍顯得捉襟見肘，無法同時滿足所有旅客的客运需求，在這種時期「一票難求」的問題仍然存在於各普通客運以及高速列車客運線路[56]。

经过5年的运行，12306总体运行已經趋于稳定，在2015年、2016年春运购票高峰期间运行良好，据称12306已經采用阿里巴巴集团的阿里云计算技术[57]。

取票后的实名火车票丢失后不能凭身份证退票和改签[58]。

2014年7月17日，铁路12306购票软件再次被外界曝光存在安全漏洞，黄牛破解该漏洞后，一个人就可以将全车厢的票买下来[59]。

2014年12月25日，一份大小14MB，包含131653條用戶名、密碼和身份信息的文件在網上傳播開來。12306當天發表聲明，表示網站資料庫所有使用者密碼均為多次加密的非明文轉換碼，此次洩漏的信息系經其他網站或管道流出[60]。

鐵路公安機關於2014年12月25日晚，將涉嫌竊取並洩露他人電子信息的犯罪嫌疑人蔣某某、施某某抓獲。他們通過收集互聯網某遊戲網站以及其他多個網站洩露的用戶名加密碼信息，嘗試登陸其他網站進行「撞庫」，非法獲取使用者的其他信息，並謀取非法利益[61]。

“网络黄牛”利用12306网站大量刷票囤票，供给下游黄牛，这些黄牛再通过QQ、线下、旅行社等各种途径向旅客兜售车票。[62]一些刷票软件都是模拟用户的正常请求去刷票，在技术手段上很难限制这个行为，进而产生了代刷、代抢的利益产业链。