如何为网站配置 HTTPS 证书

HTTPS 解决了什么问题

HTTPS 在 HTTP 上增加 TLS 加密，帮助验证服务器身份并保护传输过程。证书需要匹配实际访问的域名；浏览器出现证书警告时，不要让访客忽略继续访问。

• 证书覆盖的域名要包含根域名或所需子域名。
• 证书签发验证前，域名解析和服务器端口需要满足验证方式要求。
• 证书到期前必须续期；自动续期需要定期验证，而不是默认相信已配置。

确认域名与验证方式

常见验证方式包括 HTTP-01 和 DNS-01。HTTP-01 通常要求域名解析到服务器且验证路径可访问；DNS-01 通过添加临时 TXT 记录证明控制权，适合通配符证书。选择工具前阅读当前发行版和 ACME 客户端文档。

1. 检查根域名和 www 的 A/AAAA 解析。
2. 确认 80 或 443 端口可按验证要求访问。
3. 为证书明确列出要覆盖的主机名。
4. 完成签发后检查证书链与有效期。

不要把证书私钥公开

证书文件中的私钥必须限制读取权限，不要上传到代码仓库、前端静态目录或公开工单。

在 Web 服务中启用 TLS

将证书路径配置到对应的 HTTPS 虚拟主机，检查监听端口和 server_name。修改前备份当前 Nginx 配置；先运行语法检查，确保成功后再平滑加载。HTTP 到 HTTPS 的跳转应避免循环，并确认应用生成的绝对链接也使用 HTTPS。

sudo nginx -t
sudo systemctl reload nginx
curl -I https://example.com

确认自动续期和页面安全

查看 ACME 客户端的定时任务或 systemd timer，并按文档执行续期演练。续期成功后，服务还需要加载新证书。定期从浏览器和命令行检查有效期、证书域名及完整链。

• 检查所有入口域名和子域名。
• 检查页面是否仍加载 HTTP 资源，避免混合内容。
• 确认续期任务有日志并能报告失败。
• 保留配置备份和回滚步骤，变更后验证服务状态。