現在大多數站点都已经是 HTTPS，但「装了證书」和「一直正常」是两件事。證书有有效期，頁面里可能還残留 http 资源，跳轉鏈可能绕好几個弯，负载均衡和 CDN 上可能各自挂着一份證书。這些問题平时不顯山露水，一旦到期或配置漂移，訪客看到的就是一整頁安全警告。

證书本身：有效期、覆盖范围和證书鏈

證书到期是最常见的翻车原因，尤其是自動續期看起来配好了、其實早就静默失敗的情况。

• 有效期：確認剩余天數，別等到最後几天才發現。
• 覆盖范围：一張證书里包含哪些域名。主域名簽了，www 未必簽；静態资源域名、接口域名、移動端域名容易被漏掉。
• 證书鏈：中間證书是否完整。有些浏览器會自己补齐，有些客戶端不會，表現就是「某些设备打不開」。
• 多份證书：CDN 上的證书往往是單獨申請、單獨續期的，源站更新了不代表邊缘节点也更新了。

別只看配置，要看执行结果

定时任務寫了不等于跑成功。建议定期检查最近一次簽發時間，並設定至少提前 30 天的到期提醒。如果站点有多台服務器或用 CDN，逐台、逐节点確認，而不是抽查一台就当作全站正常。

混合内容：頁面里還藏着 http 资源

地址栏是 https，頁面却提示「不完全安全」，通常是因為某些资源仍通過 http 加载。常见位置包括：

• 老文章里直接寫的 http 图片地址
• CSS 里的 background-image
• iframe 嵌入的第三方頁面、视频播放器
• 脚本動態拼接的接口地址
• 字体文件、統計代碼

打開開發者工具的 Console 和 Security 面板，把几類代表頁面各看一遍，混合内容警告會直接列出来。修复时優先使用相對路径或 https 绝對地址，避免下次換域名又要全站再改一遍。

跳轉鏈與协议一致性

http 到 https 最好一步到位。常见問题是：http 跳到 http 加 www，再跳到 https 加 www，最後再去掉尾斜杠。虽然最终能到達，但每次跳轉都要多一次請求，也更容易在某個环节断掉。

内鏈也要统一

站内連結如果還寫着 http 绝對地址，等于让訪客和蜘蛛多绕一圈。检查正文、導航、頁脚、站点地图里的連結协议是否一致，尤其是早期發布的内容。

HSTS 與配置漂移

HSTS 能让浏览器记住「只走 https」，但要谨慎開啟。建议先用較短的 max-age 驗證，確認全站都支持 https 後再逐步加長。如果站内還有尚未改造的 http 子域，贸然加上 includeSubDomains 會直接把它們鎖死，訪問时连跳過提示的机會都没有。

一份可执行的自查清單

1. 列出所有對外提供服務的域名：主域、www、移動端、静態资源、接口、CDN。
2. 逐一检查證书有效期、覆盖域名和證书鏈完整性。
3. 確認自動續期任務真的执行過，查看最近簽發時間和执行日誌。
4. 配置到期提醒，至少提前 30 天，並明确接收人。
5. 打開首頁、栏目頁、詳情頁等代表頁面，检查 Console 有無混合内容警告。
6. 搜尋站内是否還有 http 绝對地址的内鏈和资源引用。
7. 手動輸入 http 地址，確認跳轉到最终地址只用一跳。
8. 检查 HSTS 配置是否與目前的改造進度匹配。
9. 多台服務器或多 CDN 节点，逐台核對證书版本是否一致。

證书和协议属于「不出問题就没人想起」的基础項，但一旦出問题，影响的是整站所有頁面。把它放進固定的巡检周期，比如季度一次，或者在證书續期前後各確認一遍，成本很低，收益很實在。

這些检查花不了多少時間，但能避免某天早上打開站点，發現訪客看到的是一頁红色警告。