一、HTTPS基础知识

HTTPS（Hyper Text Transfer Protocol Secure）是HTTP的安全版本，通过SSL/TLS协议对传输数据进行加密。主要优势包括：

• 数据加密传输，防止中间人攻击
• 验证网站真实性，提升用户信任度
• 对搜索引擎排名有积极影响
• 满足现代浏览器安全要求

二、准备工作

在开始配置前，请确保：

1. 拥有Linux云服务器的root权限
2. 已安装Nginx/Apache等Web服务器
3. 拥有自己的域名并完成解析
4. 服务器开放了443端口（HTTPS默认端口）

三、获取SSL证书

3.1 选择证书类型

常见免费证书选择：

证书类型	有效期	特点
Let's Encrypt	90天	免费、自动续期、广泛支持
ZeroSSL	90天	免费、可视化界面

3.2 使用Certbot获取证书

以Ubuntu系统为例：

# 安装Certbot
sudo apt update
sudo apt install certbot python3-certbot-nginx

# 获取证书（替换yourdomain.com）
sudo certbot --nginx -d yourdomain.com -d www.yourdomain.com
    

按照提示完成验证后，证书会自动配置到Nginx。

四、Nginx配置HTTPS

4.1 基础配置

典型的Nginx HTTPS配置示例：

server {
    listen 443 ssl;
    server_name yourdomain.com www.yourdomain.com;
    
    ssl_certificate /etc/letsencrypt/live/yourdomain.com/fullchain.pem;
    ssl_certificate_key /etc/letsencrypt/live/yourdomain.com/privkey.pem;
    
    # 启用HTTP/2
    listen 443 ssl http2;
    
    # 其他配置...
}
    

4.2 强制HTTPS跳转

添加HTTP到HTTPS的重定向：

server {
    listen 80;
    server_name yourdomain.com www.yourdomain.com;
    return 301 https://$host$request_uri;
}
    

五、高级安全配置

5.1 配置SSL协议和加密套件

ssl_protocols TLSv1.2 TLSv1.3;
ssl_prefer_server_ciphers on;
ssl_ciphers 'ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256...';
    

5.2 启用HSTS

add_header Strict-Transport-Security "max-age=63072000; includeSubDomains; preload";
    

六、证书自动续期

Let's Encrypt证书有效期90天，设置自动续期：

# 测试续期
sudo certbot renew --dry-run

# 添加定时任务（每天检查）
0 12 * * * /usr/bin/certbot renew --quiet
    

七、常见问题解决

7.1 证书不信任

检查证书链是否完整，确保包含中间证书。

7.2 混合内容警告

确保网页中所有资源（图片、CSS、JS）都使用HTTPS链接。

7.3 性能优化

启用OCSP Stapling减少验证延迟：

ssl_stapling on;
ssl_stapling_verify on;