关于高权重域名启用HTTPS的问题, 这里面的核心原则只有一条, 那就是必须保持HTTP与HTTPS这两个协议并行运行, 然后要通过301重定向来完成流量迁移, 在整个过程中全程都不允许出现404错误, 也不允许出现跳转死循环的情况, 因为任何一步操作要是出现了失误, 都可能会导致域名权重在短时间内大幅度地产生波动, 下面将从证书选型、部署实施、CDN对接、以及重定向配置这四个方面来给出标准操作流程。
SSL证书选型
运营超过了三年, 拥有大量外部反向链接, 比如gname.xin这样的高权重域名, 在应当优先对以下这两类证书进行选择。
OV（企业验证）证书: 在颁发这一类证书的时候, 相关机构需要去仔细地核查企业的主体资格以及相关的资质情况, 因为经过了这样的验证过程, 所以它的信任等级要明显高于DV证书, 因此它比较适用于那些具有品牌属性的站点, 如果要正式地把这一种证书投入使用的话, 建议大家应当首选像Digicert、Sectigo这样由CA机构来颁发的OV证书, 并且要注意证书的有效期是不能超过2年的。
EV（扩展验证）证书是适用于金融、政务类高权重域名的, 在浏览器地址栏它会显示出企业全称的, 从而让用户信任度变为最高。
关于在进行选型时需要注意的相关事项如下。
证书上的那个域名, 是一定要跟备案主体的名字保持完全一致的。这么做的目的呢, 就是为了避免出现主体信息对不上的情况。如果不注意这一点, 就可能会触发浏览器发出的那些安全警告提示。
在需要支持非常多的不同子域名的使用场景里面, 可以考虑去使用那种通配符形式的证书产品, 比如针对*.gname.xin这种格式的证书, 通过这种方式操作的话, 是可以有效降低后面对于证书日常管理所带来的相关成本问题的。
现在的人是不能使用那种自签名证书的, 因为主流的那些搜索引擎都会把那东西给标记成是“不安全”的。
服务器部署（Nginx示例）
1. 先把那个叫做 fullchain.pem 的证书文件, 还有那个叫作 privkey.pem 的私钥文件, 这两个东西都放到服务器的 /etc/ssl/ 这个目录里面去。与此同时, 还需要把这两个文件的权限设置成600这种状态才行。
2. 在443端口的server块中配置listen 443 ssl http2;, 并指向证书路径。
3. 只容许使用TLS1.2这个版本和TLS1.3这个版本, 必须明确地, 特意地把SSLv3这个协议禁用掉, 还要把TLS1.0这个版本以及TLS1.1这个版本也给它彻底禁用了。
4. 执行 nginx -t 验证语法无误后，运行 nginx -s reload 使配置生效。
CDN与WAF对接
具有较高权重的域名一般会接入CDN加速, 当需要部署HTTPS的时候, 必须同时进行相关操作。
你可以去CDN控制台里面上传那一份证书, 然后把这个强制HTTPS的开关打开。
把源站回源的协议设置成HTTPS, 这样能防止CDN到源站的这段连接里出现明文传输的情况。
如果在链路里面存在WAF的话, 那就必须去确认一下在WAF这一层上面是否已经加载了对应的证书。这样做是为了防止因为某一个环节仍然在使用HTTP协议, 从而导致出现混合内容报警的情况发生。
301重定向与搜索引擎验证
1. Nginx中为80端口server块添加：return 301 https://$host$request_uri;
2. 要把在robots.txt里面的URL, 还有在sitemap.xml里面的所有URL, 全都更新成用https协议来连接的版本。
3. 把那个已经改好了的网站地图, 分别提交到Google Search Console里头去, 再提交到Bing Webmaster Tools里面去。
4. 请使用 curl -IL http://gname.xin 命令来对这个跳转链进行验证。预期的结果应该是第一个请求返回 HTTP 301 状态码, 然后第二个请求, 也就是通过 HTTPS 访问的时候返回 200 状态码。过程中不得出现二次跳转的情况, 也绝对不允许出现环路错误。
上线后监测
在最近的七十二个小时之内, 每天都需要去检查一次由SSL Labs给出的安全评分数值, 以此来确保这个最终得分是绝对不会有低于A级这样的状况出现的。
对搜索引擎收录量的状况进行监测, 一旦发现24小时之内的降幅超过了百分之二十这个数值, 就需要立刻重新检查定向规则以及证书匹配状态之间的关系。
把时间设置在证书到期之前的三十天这个时间点, 然后去执行自动续签的这个操作, 同时也会发出告警并且提醒相关人员, 这样做是为了把因为证书过期而造成整个网站无法进行访问的情况完全避免掉。
只要严格按上述流程执行, 那么, 高权重域名是在48小时里面完成HTTPS全链路切换的, 同时呢, 权重波动通常控制在3%以内。
