因为高权重的网站域名安装了HTTPS, 这会对搜索引擎收录的稳定性以及用户对网站的信任程度产生直接影响。
其核心的执行步骤是按照顺序来进行的, 第一步是去申请一个证书, 第二步是把证书部署到服务器上, 第三步是进行301重定向的配置, 第四步是让全站启用强制跳转功能, 第五步是在上线之后进行验证。接下来我们将按照这个执行的先后顺序, 一步一步来作详细的说明。
证书选型
1. 免费证书这个事, 它是包含 Let's Encrypt 以及 DigiCert 免费 DV 这些类型的, 其有效时间是90天, 所以你务必需要配置上自动续期的功能, 这种情况比较适合那些预算有限的场景出现。
2. 付费类型的证书, 它包括了DV类型、OV类型以及EV类型, 这些证书的有效期可以从1年开始计算, 最长可以到3年, 其中的OV类型还有EV类型, 它们可以在浏览器的地址栏中把企业的标识给展示出来, 这样给人的感觉是信任度更高一些。
3. 关于选型建议的部分, 需要明确的是, 应该优先选择类型为OV以及更高级别的域名, 因为这样做能够有效避免由于频繁的续期操作而导致的服务过程中断问题。
在正式提交申请之前, 必须保证域名的DNS解析功能已经准备妥当, 此时在验证方法的选择上, 可以采取DNS TXT记录或者是HTTP文件验证的方式, 并且要把相关的配置工作全面完成到位。
部署步骤
1. 要把那个证书文件的, 也就是
2. 需要对Web服务器的配置信息来进行相应的修改操作, 而在这个具体的例子里面, 选择的是Nginx这一种Web服务器软件。
设置监听端口为443, 并且指明ssl_certificate的路径以及ssl_certificate_key的路径。
把TLS的版本设置为1.2以及比1.2更高的版本, 并且要禁用那些加密能力不够强的加密套件。
添加响应头 Strict-Transport-Security: max-age=31536000; includeSubDomains。
3. 在Apache的环境里, 去修改httpd-ssl.conf这个文件, 把里面的内容改成指向对应的证书路径, 然后呢, 再去执行apachectl restart这个操作。
4. 在CDN后台, 你需要开启一个叫做 Always Use HTTPS 的策略。通过这个操作, 确保边缘节点和源站的 SSL配置是完全一致的。
301重定向与全站跳转
把所有HTTP请求都重定向到对应的HTTPS地址, 这样做的目的是为了避免出现权重分散的情况。
页面内CSS、JS、图片、iframe等资源全部改为 https:// 绝对路径，消除混合内容警告；
把那个用https这个协议做出来的站点地图啊, 提交到google search console这个平台上去, 同时也提交到bing webmaster tools这个工具那边去。
如果是域名的备案发生过变更, 或者是服务器进行了迁移, 那么就需要确认好ICP备案的主体和证书的主体是否是完全一致的。
上线验证
1. 通过使用SSL Labs, 也就是testssl.org这个工具, 来完成对证书链、协议版本以及密钥强度的全项扫描, 目的是要实现目标评级为A+。
2. 使用浏览器来进行访问操作的这个行为, 在经过确认之后是没有出现有关“不安全”的相关提示信息的那一种情况的。
3. 使用搜索引擎里的那个site冒号的指令去确认那个旧的HTTP页面已经被替换掉了, 然后也没有出现重复被收录的情况。
4. 在监控系统上线之后的72小时内, 索引快照会进行更新操作, 以此用来确认切换的工作是否已经全部完成。
高频避坑要点
因为证书的有效期已经结束了, 而且没有去办理续期的手续。对于那些权重大号域名来说, 如果证书失效了, 搜索引擎就会直接对网站进行降权处理。因此, 建议大家最好设置一个能够在提前30天的时候就发出自动提醒的功能。
301重定向链路太长了, 从http跳转到https, 再从www跳到非www, 这样不对, 应该直接一步到位到达最终的网址目标。
证书与域名不匹配, 这里需要明确一个情况, 就是泛域名证书应当去确认是否已经覆盖到了所有的子域。
HSTS预加载这个机制是不可逆的, 所以在准备提交之前, 是一定要进行非常充分的测试的, 这样做的好处是能够避免因为技术配置导致后续产生很难以解决的回退困难。
在日常运维工作的过程里, 你可以把证书快要到期了这种情况的监控, 还有HTTPS这个协议的运行状态进行巡检的事情, 接到那个站点运维面板上去, 比如说就像是gz88.cn提供的那个关于域名和SSL的这种监控服务一样, 去做到出现异常情况的时候能够自动发出警告信号, 这样就能减少因为人工不小心导致的疏漏风险啦。
