为什么必须上HTTPS？
如果你还在用HTTP，以下是必须立即升级的理由：
- Google Chrome标记不安全：从2018年起，Chrome对所有HTTP站点显示不安全警告
- SEO降权：百度和Google都将HTTPS作为排名因子
- 支付接口强制要求：微信支付/支付宝/银联均要求商户网站必须HTTPS
- 数据泄露风险：HTTP明文传输，任何中间环节都可以窃取数据
- 用户信任：小锁头标志是用户判断网站可信度的第一印象
SSL证书类型选择
| 类型 | 验证级别 | 价格 | 适合 | 显示效果 |
|---|---|---|---|---|
| DV（域名验证） | 仅验证域名所有权 | 免费~几百元/年 | 个人博客/小微企业 | 小锁头 |
| OV（组织验证） | 验证域名+企业身份 | 几百~几千元/年 | 中小企业官网 | 小锁头+公司名 |
| EV（扩展验证） | 最严格验证 | 几千~万元/年 | 金融/政务/大型电商 | 绿色地址栏+公司名 |
| 通配符证书 | DV/OV均可 | 高于普通证书 | 多子域名场景 | 保护*.example.com下所有子域 |
免费证书方案
Let's Encrypt
- 完全免费的DV SSL证书
- 有效期90天（需自动续期）
- 使用Certbot工具自动申请和续期
- 支持通配符证书（需DNS验证）
云厂商免费证书
- 阿里云免费SSL证书（有效期1年，每年可免费申请20张）
- 腾讯云免费证书（类似政策）
- 申请方便（在云控制台几分钟即可完成）
证书申请流程（以阿里云为例）
- 登录阿里云控制台 → SSL证书 → 免费证书 → 创建证书
- 填写域名信息（如 www.qingdao-example.com ）
- 选择验证方式（DNS解析验证或文件验证）
- 完成验证（DNS添加一条TXT记录或在网站根目录放置验证文件）
- 等待签发（通常几分钟到几十分钟）
- 下载证书（包含证书文件和私钥文件）
- 在Web服务器（Nginx/Apache）中配置SSL
Nginx HTTPS配置最佳实践
- 监听443端口并启用ssl
- 指定证书文件和私钥文件路径
- 启用现代协议版本（TLSv1.2 TLSv1.3）
- 选择安全的密码套件（禁用弱加密算法）
- HSTS头（告诉浏览器以后只用HTTPS访问）
- HTTP到HTTPS的301跳转（server块监听80端口return 301）
安全加固检查项
- SSL Labs评级达到A或A+（在线检测工具 ssllabs.com/ssltest ）
- 禁用TLS 1.0和1.1（仅保留1.2和1.3）
- 启用OCSP Stapling（减少证书验证时间）
- 正确配置安全响应头（HSTS/X-Content-Type-Options/X-Frame-Options等）
- 设置自动续期（避免证书过期导致网站不可访问）
面向青岛企业IT团队的技术实践指南，分享真实项目经验和最佳实践。
本文由500元建网站青岛站技术团队原创，基于我们在青岛市南区研发中心服务数百家青岛企业的实战经验总结而成。如有任何技术疑问，欢迎随时联系我们（电话：0532-XXXX-XXXX）。