外贸网站SSL/TLS安全配置：HTTPS部署与证书管理完全指南

HTTPS不仅是安全需要，也是Google排名因素。2018年起，Chrome浏览器对HTTP网站标记"不安全"，直接影响用户信任。本文详解SSL/TLS证书的选择、部署和管理的完整方法。

一、为什么必须使用HTTPS？

安全层面：

• 加密用户与服务器之间的数据传输
• 防止中间人攻击（MITM）
• 保护用户密码、信用卡号等敏感信息
• 确保数据完整性（不被篡改）

SEO层面：

• Google将HTTPS作为排名信号
• HTTP网站被Chrome标记"不安全"，跳出率增加
• HTTP页面无法使用HTTP/2（速度更慢）
• Google优先索引HTTPS版本

业务层面：

• Chrome/Firefox显示"不安全"警告，降低信任
• 无法使用浏览器地理定位API
• 无法使用Service Worker（PWA）
• 部分广告平台要求HTTPS着陆页

二、SSL/TLS证书类型

1. 按验证级别分类

2. 按覆盖范围分类

• 单域名证书：保护一个域名（如www.example.com）
• 通配符证书（Wildcard）：保护主域名和所有子域名（如*.example.com）
• 多域名证书（SAN/UCC）：保护多个不同域名（如example.com、example.net）

推荐：

• 大多数外贸网站：DV通配符证书（Let's Encrypt免费）
• 需要更高信任度：OV单域名证书

三、免费SSL证书：Let's Encrypt

Let's Encrypt提供免费的DV证书，自动续期，足够大多数网站使用。

优势：

• 完全免费
• 自动签发和续期
• 受所有主流浏览器信任
• 支持通配符证书

限制：

• 只有DV级别（无OV/EV）
• 有效期90天（需自动续期）
• 不提供商业保险

安装方法（Certbot）：

# 安装Certbot
sudo apt install certbot python3-certbot-nginx

# 获取证书（Nginx）
sudo certbot --nginx -d example.com -d www.example.com

# 获取通配符证书
sudo certbot certonly --manual --preferred-challenges dns -d "*.example.com" -d example.com

# 自动续期（已内置定时任务）
sudo certbot renew --dry-run

自动续期配置：

# 检查定时任务
sudo systemctl status certbot.timer

# 手动续期
sudo certbot renew

四、Nginx HTTPS配置

基础配置：

server {
    listen 80;
    server_name example.com www.example.com;
    return 301 https://$host$request_uri;
}

server {
    listen 443 ssl http2;
    server_name example.com www.example.com;

    # 证书路径
    ssl_certificate /etc/letsencrypt/live/example.com/fullchain.pem;
    ssl_certificate_key /etc/letsencrypt/live/example.com/privkey.pem;

    # SSL协议版本
    ssl_protocols TLSv1.2 TLSv1.3;

    # 加密套件
    ssl_ciphers ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384;

    # 优先使用服务器端加密套件
    ssl_prefer_server_ciphers on;

    # SSL会话缓存
    ssl_session_cache shared:SSL:10m;
    ssl_session_timeout 10m;

    # HSTS（强制HTTPS）
    add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;

    # 其他安全头
    add_header X-Frame-Options "SAMEORIGIN" always;
    add_header X-Content-Type-Options "nosniff" always;
    add_header X-XSS-Protection "1; mode=block" always;
    add_header Referrer-Policy "strict-origin-when-cross-origin" always;
}

五、WordPress HTTPS配置

步骤1：修改WordPress地址

1. 进入WordPress后台 → 设置 → 常规
2. 将WordPress地址和站点地址改为HTTPS
3. 如：https://example.com

步骤2：修复混合内容

• 安装"Really Simple SSL"插件（自动修复）
• 或手动搜索替换数据库中的http://为https://

步骤3：数据库搜索替换：

# 使用WP-CLI搜索替换
wp search-replace "http://example.com" "https://example.com" --all-tables

# 或使用Better Search Replace插件

步骤4：更新wp-config.php：

define('FORCE_SSL_ADMIN', true);
define('FORCE_SSL_LOGIN', true);

六、混合内容修复

混合内容（Mixed Content）是指HTTPS页面加载HTTP资源，浏览器会显示安全警告。

混合内容类型：

• 被动混合内容：图片、音视频（浏览器加载但显示警告）
• 主动混合内容：JS、CSS、iframe（浏览器直接阻止）

修复方法：

1. 全站搜索替换：
   • 将所有http://替换为https://
   • 使用WP-CLI或数据库搜索替换工具
2. 使用协议相对URL：
   • 将http://example.com/image.jpg改为//example.com/image.jpg
   • 自动使用当前页面的协议
3. Content-Security-Policy头：
   • 自动将HTTP请求升级为HTTPS
   • add_header Content-Security-Policy "upgrade-insecure-requests"

七、HSTS配置

HSTS（HTTP Strict Transport Security）告诉浏览器始终使用HTTPS访问网站。

HSTS头部：

Strict-Transport-Security: max-age=31536000; includeSubDomains; preload

参数说明：

• max-age：HSTS有效期（秒），建议1年（31536000）
• includeSubDomains：包含所有子域名
• preload：允许加入浏览器HSTS预加载列表

HSTS预加载：

1. 配置HSTS头部（含preload）
2. 访问hstspreload.org提交域名
3. 审核通过后，浏览器内置强制HTTPS

⚠️ 注意：

• 启用HSTS前确保所有子域名都支持HTTPS
• 加入预加载列表后移除困难
• 建议先短时间测试（max-age=300），确认无问题后再加长

八、SSL证书管理

证书续期：

• Let's Encrypt：90天有效期，自动续期
• 付费证书：1年有效期，需手动续期
• 建议：设置续期提醒（到期前30天）

证书监控：

• 使用SSL Labs测试：ssllabs.com/ssltest
• 目标：A+评级
• 监控证书到期时间（使用UptimeRobot等工具）

证书吊销：

• 如果私钥泄露，立即吊销证书
• Let's Encrypt吊销命令：certbot revoke --cert-path /path/to/cert.pem
• 重新签发新证书

九、HTTPS安全检测

1. SSL Labs测试

• 网址：ssllabs.com/ssltest
• 测试项：协议版本、加密套件、证书链、HSTS
• 目标：A或A+评级

2. 安全头检测

• securityheaders.com
• 测试项：HSTS、X-Frame-Options、CSP等安全头
• 目标：A评级

3. 混合内容检测

• Chrome DevTools → Security标签
• 查看是否有混合内容警告

4. 证书透明度（CT）

• crt.sh查询已签发证书
• 监控是否有未经授权的证书

十、HTTPS迁移检查清单

迁移前：

• ✅ 备份网站和数据库
• ✅ 获取SSL证书
• ✅ 配置服务器HTTPS
• ✅ 测试HTTPS版本

迁移中：

• ✅ 设置HTTP→HTTPS 301重定向
• ✅ 修改WordPress地址为HTTPS
• ✅ 搜索替换数据库中的HTTP链接
• ✅ 修复混合内容
• ✅ 更新CDN配置

迁移后：

• ✅ SSL Labs测试A+评级
• ✅ 启用HSTS
• ✅ 更新Google Analytics和Search Console
• ✅ 更新外部链接（社交媒体、目录）
• ✅ 监控排名和流量变化

写在最后

HTTPS是现代网站的基本要求，不再是可选项。建议所有外贸网站立即部署HTTPS，使用Let's Encrypt免费证书即可。记住：HTTPS不仅是安全措施，更是SEO和用户信任的基础。