SSL 证书部署误区避坑：加密部署与防劫持落地教程

忽视证书有效期管理

未及时更新过期证书会导致网站被浏览器标记为不安全，建议设置自动续期提醒或使用Let's Encrypt等提供自动续期的服务。

混合内容（Mixed Content）问题

HTTPS页面加载HTTP资源会触发安全警告，需将所有资源链接（图片/JS/CSS等）改为相对路径或//协议自适应格式。

证书链不完整

中间证书缺失会导致部分设备无法验证，可通过SSL检测工具（如SSL Labs）验证证书链完整性，确保包含根证书和中间证书。

选择合规的证书类型

根据业务需求选择DV（域名验证）、OV（组织验证）或EV（扩展验证）证书。多域名或通配符场景需配置SAN证书。

强制HTTPS跳转

在Web服务器配置301重定向，示例（Nginx）：

nginx 复制代码

server {
    listen 80;
    server_name example.com;
    return 301 https://$host$request_uri;
}

启用HSTS头部

添加HTTP Strict Transport Security头部增强安全性：

nginx 复制代码

add_header Strict-Transport-Security "max-age=63072000; includeSubDomains; preload";

启用OCSP装订（OCSP Stapling）

减少证书验证延迟并防止隐私泄露，Nginx配置示例：

nginx 复制代码

ssl_stapling on;
ssl_stapling_verify on;
resolver 8.8.8.8 valid=300s;

部署CAA记录

在DNS中添加CAA记录限制证书颁发机构，防止非法签发：

复制代码

example.com. IN CAA 0 issue "letsencrypt.org"

定期密钥轮换

建议每6-12个月更换私钥并重新签发证书，使用2048位以上RSA或ECC算法。

启用TLS 1.3协议

现代浏览器普遍支持，显著降低握手延迟：

nginx 复制代码

ssl_protocols TLSv1.2 TLSv1.3;

优化加密套件

禁用不安全算法，优先使用前向保密套件：

nginx 复制代码

ssl_ciphers 'ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384';
ssl_prefer_server_ciphers on;

会话复用配置

减少TLS握手开销，Nginx设置：

nginx 复制代码

ssl_session_timeout 1d;
ssl_session_cache shared:SSL:50m;