SSL证书：免费的就一定香？我踩过的那些坑
说个真事儿。 去年我一个站，流量莫名其妙掉了三成。排查了服务器，日志，内容质量，百思不得其解。直到有一天用手机浏览器一看——好家伙，地址栏直接挂着“不安全”三个大字。那一刻心里真是万马奔腾。原来 SSL 证书过期了！就这么个小事，让我血亏几十万流量。从那以后，我对证书这事再不敢马虎。所以今天这一篇，不是科普。就是朋友间的扪心自问——SSL 证书到底怎么选，怎么弄，才不会掉链子。
选免费还是付费？别只看价格
现在遍地都是免费证书。Let's Encrypt，ZeroSSL，还有各种云服务商送的。说实话，对个人博客、小企业站，免费的真够了。但——这里有个但——你如果像我一样搞电商，或者做SEO，就需要多想想。
免费证书有效期只有 90 天。自动续期？理论上行。实际上，多少人的脚本报错过？我见过不止一个案例：自动续期失败，证书过期，网站直接罢工。用付费证书，一年起步，省心。而且，OV、EV 证书会显示组织名称，虽然现在浏览器淡化展示，但对于某些用户，那一点点视觉信任还是有用。尤其做外贸站，老外还是会看一眼那个小锁的。
我自己的经验：重要站点，花几百块买个付费的，就当买保险。玩具站、测试站，免费随意。别在这上面抠，最后亏的是自己。
https://obgeo.oss-cn-beijing.aliyuncs.com/pvc-articles/1b73521b-3138-44be-8972-f448f5afe79e.jpg
SSL证书浏览器警告页面截图
但免费证书还有个大坑。2021年 Let's Encrypt 的根证书 DST Root CA X3 过期，直接导致一堆旧安卓设备无法访问。我的一个测试站中招，用户反馈打不开，我查了半天才反应过来。免费的东西，不受你控制，说崩就崩。所以要是你的用户群体里还有老设备，最好提前检查下证书兼容性。
证书部署，细节是魔鬼
装个证书简单，对吧？面板一键申请，或者几条命令。但很多人的网站混合内容（Mixed Content）检测能让人疯掉。装了证书，地址栏还是有小锁警告，或者显示“不完全安全”。原因？页面里引用了 HTTP 资源。一张图片、一个 CSS、一个 JS 文件。你检查半天，可能就漏了一个陈年老链接。
我上次处理一个站，混合内容死活清不完。最后发现是一个埋了五年的代码里，引用了 http 的外部统计脚本。真是气笑了。解决方法倒不复杂：全站搜索 http://，替换为 https://。但别忘了数据库里的内容，用插件或者 SQL 批量替换。
还有重定向。从 HTTP 到 HTTPS，要设置 301 永久重定向。这是 SEO 基础。千万别把不带 www 和带 www 的域名搞乱了，统一到一个版本。同时更新 Search Console 中的属性，提交带 https 的新站点地图。这一步不做好，你的旧流量会大量流失。
https://obgeo.oss-cn-beijing.aliyuncs.com/pvc-articles/f2853754-53d8-44d9-9edc-ef0116e38904.jpg
网站混合内容警告浏览器控制台截图
TLS 配置也有讲究。用 SSL Labs 测一下，至少拿个 A。关掉老旧的 SSLv2、SSLv3，只留 TLS 1.2、1.3。加密套件别选太烂的，否则速度慢还容易被攻击。对了，证书链一定要完整，缺中间证书安卓手机会报错，别问我怎么知道的。
SSL 对 SEO 的影响，不止是排名
https://obgeo.oss-cn-beijing.aliyuncs.com/pvc-articles/4a29f745-7631-43c4-b658-bec41558f37f.jpg
SSL 对 SEO 的影响，不止是排名
Google 早在 2014 年就说过 HTTPS 是排名信号。轻量级。但这么多年过去，它成了基准线。没 HTTPS，浏览器警告，用户跳出率飙升，间接影响排名。这是一层。
另一层是速度。TLS 握手有开销，但 HTTP/2 多路复用必须基于 HTTPS。可以说，上了 HTTPS 才能用上现代协议，反而可能更快。但要是没配好，比如用了老旧的加密套件，反而慢。我建议用 SSL Labs 测试一下你的站，至少拿个 A。尤其注意关闭 SSLv2、SSLv3，只用 TLS 1.2、1.3。
还有证书链完整性。有时候服务器没配中间证书，安卓设备访问出问题，都是坑。
从SEO角度看，HTTPS 给的直接排名加成可能很小，但在竞争激烈的关键词上，可能就是那毫厘之差。更重要的是用户信号：安全标识让用户停留更久，跳出率降低，这些间接影响权重的因素，远比证书本身的分量重。
别让证书成最薄的一环
最后说说证书管理。多站点站长，推荐用个监控工具。免费的有 Uptime Robot 可以监控 HTTPS 证书到期提醒。我则是在日历上设提醒，提前一个月开始折腾。有时候域名的 Whois 信息和证书申请要匹配，尤其是 OV、EV 证书，验证起来麻烦，公司资质要齐全。
一个冷知识：证书私钥别乱丢。泄露了就得立即吊销重发。我见过某小电商，私钥被挂 GitHub 上自己还不知道。结果被中间人攻击，用户数据泄露。安全无小事。
话糙理不糙，SSL 证书就是网站的身份证加防护服。别等出了事才后悔。就这么多，说多了又是大道理。你们懂的。 讲得很透彻，把复杂的问题简单化，理解起来轻松了很多。 这个问题困扰我很久了，看了你的帖子终于有思路了，非常感谢。 希望楼主常来发帖，持续输出优质内容，我们都会一直支持你。 这样的优质帖子越多越好，希望论坛能多一些这样真诚的交流。 看完之后深有感触，有些话真的说到心坎里了，很有共鸣。 虽然篇幅不长，但句句都是重点，简洁又有深度，非常不错。 逻辑严谨，条理分明，一看就是经过认真思考和整理的内容。 非常有建设性的意见，对解决实际问题有很大的参考意义。
内容全面又细致，几乎把相关问题都覆盖到了，非常用心。 不仅内容好，语气也很温和，这样的交流氛围真的很不错。
页:
[1]