配置高权重域名的HTTPS的标准的操作步骤, 就是去选定证书的类型, 然后提交申请把域名验证做完, 接着在服务器那边部署那个证书文件, 最后要配置全站强制跳转还有HSTS策略。后面的内容是按照具体的操作步骤来一个一个讲的。
证书类型选择
所谓高权重域名, 这个意思就是那些已经在搜索引擎里面有了比较高的权重, 或者是说历史上面的收录量比较庞大的那些域名, 他们对证书的这样一种类型是存在着明确的适配需求的:
DV, 也就是域名验证型证书, 它只需要验证一下是不是该域名的所有权人就可以发货了, 速度很快, 不过只适合放在测试环境里来用, 不建议把它用在正式场合并且权重高的那些域名上面, 因为它没有办法体现出什么企业的身份, 也就没有其他的那种背景支持。
企业验证型, 也就是通常说的OV证书, 它的主要作用是去核实企业的真实身份以及域名的所属权。关于它签发的时间周期, 大概需要花费3到5个工作日的时间。这个选项是目前在高权重的域名生产环境里面, 特别受欢迎的一个主流选择, 因为很多场合都会用它来做保障。
扩展验证型是指EV这种类型,它的验证过程是比较严格的高权重域名HTTPS配置指南, 在地址栏那里是会显示企业名称的, 签发周期大概是要用到7-15个工作日这样的时间, 它是适用于像金融、政务这样的高信任和信任比较高的场景。
对于权重比较高的域名, 建议至少要去使用OV类型的证书, 主要是为了避免因为这个DV证书的信任标识不够充分而导致的用户流失。
申请与签发
1. 选定CA机构（如Let's Encrypt、DigiCert、Sectigo、GlobalSign等）这件事, 然后, 通过控制台,或者高权重域名HTTPS配置指南, 通过ACME协议, 来提交CSR。
2. 在CSR里面填写CN字段的时候, 需要填写域名的全称, 比如说像gname.xin这样的情况, 一定要确保与DNS解析记录保持一致。
3. 你需要去完成那个关于域名的验证步骤,这个操作可以是去弄一个DNS TXT记录用于验证大城群众说事, 也可以是去弄一个HTTP文件用于验证。
4. 你需要提交用于企业验证的材料, 如果做的是OV类型或者是EV类型的话, 那么你就需要提供营业执照还有域名注册信息之类的。
5. 在验证通过以后, CA要签发证书文件, 这些证书文件的格式包括.crt或者.pem格式的还要同时去签发那个中间证书链。
服务器部署
就以Nginx来打个比方吧, 把那个最核心的配置部分拿出来看看。
server {
listen 443 ssl;
server_name gname.xin;
ssl_certificate /etc/ssl/certs/gname.xin.crt;
ssl_certificate_key /etc/ssl/private/gname.xin.key;
ssl_trusted_certificate /etc/ssl/certs/gname.xin-chain.pem;
ssl_protocols TLSv1.2 TLSv1.3;
}
在完成了部署操作之后, 要去执行nginx -t这个命令来对程序的语法进行一个检查, 然后还要再执行nginx -s reload这个步骤, 让配置能够被加载并且生效。
全站强制跳转与HSTS
在80端口这里, 要去添加301跳转的操作。
server {
listen 80;
server_name gname.xin;
return 301 https://$host$request_uri;
}
把HSTS给启用起来, 最开始的时候max-age这个参数设置一个短一些的时间, 等到运行稳定了之后再慢慢把它加长:
add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;
验证与常见排查
使用 SSLLabs 对已经部署完成的那个域名来进行全部的扫描操作, 确认得到的评分达到A等级或者是更好的情况。
如果出现证书链不完整的警告, 那通常是因为中间证书没有拼接在一起, 这时候需要把CA中间证书追加到服务器证书文件的末尾处。
高权重域名在进行续签操作的时候, 必须要把新证书的部署工作放在旧证书到期之前十四天这个时间段内去完成, 这样做的目的就是为了避免因为抓取中断而引发权重的波动。
在使用那种能够覆盖到所有子域名级别的通配符证书的时候, 关于它的通用名称这一个字段, 必须和你们域名那边所设置的解析记录做到百分之百的完全对应上。
只要你按照这个路径去执行, 就可以保证高权重的域名的HTTPS的安全、兼容以及与SEO的相关性的稳定。
