很多人觉得给高权重的域名配上HTTPS, 就好像是简单地安装一个证书那么回事。这种想法其实是不对的。这件事涉及到的核心环节主要有四个。这四个环节分别是证书的怎么选择、在服务器上进行部署、把站内所有的链接都强制跳转到https以及形成验签的闭环。

如果你是跳过了其中任何一个步骤, 那么都有可能会导致搜索引擎给你的域名安全评级变低。这种情况就会直接影响你的收录权重还有用户对网站的信任度。接下来的内容是按照官方推荐的这个路径来进行编写的, 目的是给出一份完整的操作规范。

证书选型：高权重域名的硬性标准

高权重域名, 也就是那些拥有大量高质量的外链, 并且被搜索引擎长期稳定收录的域名, 在进行HTTPS配置的时候, 证书的选择必须满足以下的这些要求。

证书类型这一项, 你必须有且只能从OV（组织验证）还有EV（增强验证）这两种类型的证书里面去选一个, DV（域名验证）这种类型的证书呢, 它仅仅也就是适用于那些权重比较低的域名, 或者是那些刚刚完成注册没多久的新域名这些情况, 它是绝对无法为那些高权重的域名提供充分的安全信任背书和证明的。

在加密算法的选择方面, 必须采用具备2048位长度或者更高强度的RSA算法, 也可以使用基于P-256曲线的ECDSA算法。严格禁止使用已被淘汰的SHA-1签名方式。

优先选用有效期在九十日以内的短期证书, 并且配合像ACME协议这样的自动续期机制来进行使用, 这样就能够避免出现因为长期的证书到了到期时间却没有进行更新从而导致服务停止中断这样的情况。

该颁发的机构, 必须是被CA/Browser Forum所认可的CA机构来签发的, 同时证书链需要保持完整, 也就是说中间这一层级的证书, 是绝对不可以被省略的。

以 gname.xin 这个域名管理平台作为例子来说, 当你在上面提交证书申请的时候, 该平台会同步进行域名所有权的校验工作。

它会去检查 DNS TXT 记录或者是 HTTP 文件验证的情况, 这样一来, 就能确保提出申请的人和域名控制者是同一个人。通过这种操作方式, 可以有效地防止中间人攻击的发生。

部署步骤：服务器侧完整操作

1. 需要把签发好的那个证书文件, 也就是那种后缀是 crt 或者 PEM 的文件, 还有那个私钥文件, 就是后缀是 key 的文件, 这两个都部署到一个指定的目录里, 这个位置是在 Web 服务器的上面说的, 然后呢, 文件的权限必须要设置成是 600, 还有一个要求就是, 这个文件的属主得是那专门运行着 Web 服务的那个用户。

2. 配置服务器的传输层安全协议, 你要只把TLS1.2和TLS1.3这两个版本给开启起来。与此同时, 对于SSLv3、TLS1.0以及TLS1.1这些旧有的协议版本, 必须把它们彻底地关闭掉, 一个都不能留。

3. 在Web服务器, 这些Web服务器里可能包含有Nginx、可能是Apache、也可能有IIS这些名字的时候, 去配置那个80端口跳转到443端口的301强制跳转的操作, 这么做就是为了能够确保那些所有的HTTP请求都能被统一地重定向到HTTPS这个方向上去, 从而把混合内容这个问题给避免掉。

4. 我们需要去打开那个HSTS响应头, 这个操作对应的就是HTTP Strict Transport Security, 然后要注意一点, 里面的那个max-age属性的值必须要大于或者等于31536000秒, 这代表的是一年, 关于要不要加上includeSubDomains这个选项, 需要去看待你的域名具体架构是什么样的, 然后再做出是否添加的判断。

5. 进行OCSP Stapling的配置操作, 这样做可以减少客户端去进行实时的OCSP查询动作所带来的负面影响, 这种负面影响主要体现在对响应时间的影响上面。

验签与持续监控

在把相关的东西部署到位之后, 必须接下来去按照规定的步骤, 先把验签这个流程给执行完毕。

我们使用openssl s_client命令来验证证书链的完整性,并且确认没有缺失中间证书。

通过使用SSL Labs Test这个工具高权重域名HTTPS配置指南, 也就是访问sslabs.com网站, 来进行安全扫描, 确保得到的评级是在A级或者A级以上, 以此保证不会有已知的漏洞协议被暴露出来。

你需要在搜索引擎的后台管理工具中提交你的网站地址, 具体的工具包括百度资源平台以及Google Search Console, 通过这样的操作, 能够触发系统执行重新抓取和索引更新的动作, 其中你要提交的HTTPS站点地址是要特别指明的。

在证书到期之前的时候, 我们需要建立一个包含三级的告警机制, 这三级分别是提前14天、提前7天和提前1天来提醒用户,这样可以确保证书的续期操作能够连续进行高权重域名HTTPS配置指南, 不会出现中断的情况。

高频疑难与对策

在证书更新完毕之后, 部分子站的情况是还没有生效, 在这种情况下, 用户需要去检查CDN或者反向代理这一层当中是否还存在旧证书的缓存信息, 如果确实存在的话, 就必须执行手动操作来刷新边缘节点里面的数据。

存在混合内容的警告信息, 需要排查页面里面所有的, 使用了HTTP协议的, 第三方资源, 比如图片, 以及脚本, 也包括iframe,这些内容要逐一进行替换大城群众说事, 要么换成HTTPS协议, 要么就直接移除。

高权限的域名在换掉了IP地址之后, 会碰到证书对不上的状况, 这时候就需要重新申请一个和当前的IP地址绑定的证书, 或者是去选用那种能够覆盖多个IP地址情况的通配符SAN证书。

在完成了上面提到的所有步骤之后, 权重比较高的域名的https安全闭环也就正式建立起来了, 这样搜索引擎的安全评级和用户浏览器的信任标识就会同时提升, 给以后的内容被收录以及权重的维护提供基础层面的保障。