HTTPS 部署避坑指南：证书链、混合内容与自动续期

HTTPS 不只是“装个证书”。配置不完整时，浏览器仍会提示不安全，甚至部分用户完全无法访问。

证书链必须完整

服务器需要下发“站点证书 + 中间证书”。缺少中间证书时，桌面浏览器可能正常，但安卓 App 与部分老设备会报错。用 SSL Labs 或 openssl 检查链是否完整。

混合内容要清零

页面通过 HTTPS 加载，但图片、脚本或接口仍是 HTTP，会被浏览器拦截。上线前用开发者工具筛选 http:// 资源，并统一改为相对协议或 HTTPS。

自动续期与监控

免费证书通常 90 天有效，建议使用 ACME 自动续期并配置到期前 30 天告警。证书过期是最低级也最致命的事故之一。

上线检查表

• HTTP 301 跳转到 HTTPS
• HSTS 头正确配置
• TLS 1.2 / 1.3 开启，弱套件关闭
• 证书链完整、域名匹配
• 全站无混合内容