站点上线 HTTPS 之后，很多人会默认“加锁了就没问题”。实际运营中，证书到期、页面里混着 HTTP 资源、跳转链没理顺，都会让访客看到安全警告，抓取工具也可能在请求阶段就停下来。这类问题不常发生，但一旦出现，影响面往往覆盖全站，值得放进日常自查清单。
先确认证书本身的有效期和覆盖范围
证书不是装好就一劳永逸。免费证书通常 90 天就要续，商业证书也有一年或两年的期限。建议把到期时间写进监控，至少提前 14 天提醒，别等到当天才处理。
检查时重点看三件事：
- 证书绑定的域名是否覆盖当前使用的所有域名，包括带 www 和不带 www 的版本；
- 中间证书是否完整，部分客户端对证书链缺失比较敏感；
- 是否使用了通配符或 SAN 证书，新增子域名时能不能被同一张证书覆盖。
如果站点用了 CDN 或负载均衡，证书可能部署在边缘节点上，也可能在源站各有一份。维护时要确认两边到期时间一致，避免只换了一边。
混合内容是更隐蔽的一类问题
HTTPS 页面里如果引用了 HTTP 的图片、脚本、样式或字体，浏览器会在地址栏给出“不安全”提示，部分资源直接被拦截。访客看到页面缺图、样式错乱，体验很差；抓取时也可能因为资源加载失败而影响页面理解。
排查方法不复杂：打开浏览器开发者工具，看控制台和安全面板里的混合内容警告。也可以在全站范围内搜索 http:// 开头的资源引用，重点检查：
- 文章正文里手动插入的图片地址；
- 模板中写死的脚本和样式链接；
- 第三方统计、字体、地图等外部资源；
- 旧内容迁移时没有替换的绝对地址。
找到之后尽量改成 https:// 或协议相对地址。如果第三方资源本身不支持 HTTPS，考虑替换服务或改成本地托管。
跳转和 HSTS 设置要留出退路
从 HTTP 跳到 HTTPS 是常规操作，但跳转链太长会拖慢首次访问。理想情况是 HTTP 一次 301 到 HTTPS，然后直接返回内容。如果中间还经过 www 跳转、目录跳转，最好合并成一步。
HSTS 可以让浏览器在一段时间内强制使用 HTTPS，减少跳转次数。但开启前要确认全站所有子域名都已经支持 HTTPS，否则可能把自己或访客挡在外面。设置 max-age 时可以从较短时间开始，观察一段时间再逐步加长。
证书更换后的复查动作
换完证书不等于结束。建议按下面的顺序复查一遍：
- 用不同网络环境访问首页和几个内页，确认没有安全警告；
- 查看证书详情，确认颁发对象、有效期和域名覆盖正确；
- 打开开发者工具，确认没有混合内容报错；
- 检查 HTTP 到 HTTPS 的跳转状态码和跳转次数；
- 如果用了 HSTS，确认响应头里的 max-age 和 includeSubDomains 设置符合预期；
- 观察一段时间内的服务器日志，看是否有大量 TLS 握手失败或异常请求。
把这些检查写进上线清单，每次换证书或调整 CDN 配置后都过一遍，能省掉不少临时救火的时间。
HTTPS 不是一次性配置，而是需要定期看一眼的基础设施。把到期时间、混合内容和跳转设置放在同一个检查表里，问题通常会提前暴露。