给站点安装 SSL 证书，只是 HTTPS 迁移的一部分。证书配置完成后，页面可能仍显示“不安全”或锁形警告，原因是图片、脚本、样式、iframe 仍在用 HTTP，或者重定向链把用户带到了错误地址。对外服务还可能因为第三方接口、广告资源和旧缓存出现问题。
本文讨论 HTTPS 迁移中的常见问题与分阶段思路，不构成具体开发规范。不同站点架构差异较大，实施时应结合实际环境。更多 SSL 内容可参考本站SSL 证书栏目。
一、先做全站资源盘点
列出页面中的图片、视频、脚本、样式、字体、iframe、API 请求和第三方组件。区分站内资源和外部资源，标注哪些支持 HTTPS、哪些只有 HTTP、哪些地址会随环境变化。数据库、模板和富文本编辑器里也可能藏着 HTTP 链接，不能只扫静态页面。
盘点时同时检查 canonical、hreflang、sitemap、RSS 和结构化数据中的 URL。迁移后这些地址应统一到 HTTPS，避免搜索引擎和用户看到重复或跳转链。
二、混合内容的处理
混合内容指 HTTPS 页面加载 HTTP 资源。主动混合内容（脚本、样式、iframe）可能被浏览器直接拦截，被动混合内容（图片、视频）可能显示警告。处理方式是替换为 HTTPS 地址，或把资源下载到自有 HTTPS 域名。
不要简单依赖“升级不安全请求”的浏览器策略，不同浏览器和版本行为不同。对第三方资源，确认对方提供 HTTPS 地址；无法提供的，评估是否替换供应商或移除。对富文本中的历史文章，批量替换后抽样检查，避免误改正文。
三、重定向与域名归一
迁移时常见的问题是多重跳转：HTTP 跳到 HTTPS，HTTPS 又跳到 www，再跳到带斜杠的地址。每多一次跳转，就多一次延迟和出错机会。设计一条清晰的重定向规则，把 HTTP、裸域、旧域名统一到目标 HTTPS 地址。
保留路径和查询参数，避免用户从旧链接进入后丢失页面。对已下线页面，返回合适的 301 或 410，不要全部跳首页。迁移前备份重定向规则，迁移后逐条测试。
四、HSTS 的使用
HSTS 告诉浏览器在指定时间内只通过 HTTPS 访问站点，可以减少降级攻击。启用前确认全站 HTTPS 可用，包括子域和备用域名。若还有 HTTP 服务或测试子域，贸然启用可能让用户无法访问。
HSTS 的 max-age 应从较短时间开始，逐步增加，并评估 includeSubDomains 和 preload 的影响。preload 一旦生效，撤销需要较长时间，不建议在未完成全站迁移时申请。
五、第三方与广告资源
第三方统计、客服、支付、广告和社交分享组件常是混合内容来源。迁移前向供应商确认 HTTPS 支持，获取更新后的嵌入代码。对无法支持 HTTPS 的旧组件，评估替换或移除，不要为了保留功能而降低全站安全。
广告位和落地页尤其容易引入 HTTP 资源。市场团队上新活动前，把 HTTPS 检查加入发布清单。对跨境站点，还要确认第三方组件在不同地区的可用性。
六、分阶段上线与回滚
- 测试环境完成证书、链、重定向和资源替换。
- 小流量域名或内部站点试点，观察错误日志和用户反馈。
- 逐步切换主站，保留回滚配置和旧证书。
- 全量上线后检查搜索引擎收录、统计数据和支付流程。
- 稳定运行后再启用 HSTS 和更严格的安全策略。
回滚不是失败，而是迁移计划的一部分。回滚前确认 DNS、证书和配置都能恢复，避免回滚过程产生新的混合内容。
七、内容与 SEO 收尾
HTTPS 迁移后，更新 sitemap、robots、canonical、RSS 和结构化数据中的地址。旧 HTTP 链接通过 301 指向新地址，保留路径和参数。检查站内搜索、分页、标签页和文章分享链接，避免迁移后出现死链或重复内容。
对搜索引擎，提交新的 sitemap 并观察抓取错误；对用户，更新邮件模板、广告落地页和合作伙伴链接。把 HTTPS 地址写入品牌规范，后续新页面直接使用，不再产生新的 HTTP 引用。
迁移完成后保留一段时间的监控，观察 404、混合内容和证书错误。把常见问题整理成排查手册，交给运维和内容团队。
另外，迁移期间要保留旧域名的证书和重定向配置至少一个续期周期。用户、搜索引擎和合作伙伴的旧链接不会在同一天全部更新，过早删除会导致访问失败。清理前先看访问日志，确认旧地址流量已经降到可接受水平。
八、上线后的检查
从不同网络、浏览器和设备访问，查看锁形图标、证书详情和页面资源。检查 API 请求、图片加载和表单提交是否正常。对搜索引擎，提交新的 sitemap，观察索引和抓取错误。对用户，发布迁移说明，解释地址变化和登录方式。
SSLDUN 自 2017 年起通过合同方式获得 Certum 相关产品授权，可协助企业准备 SSL 证书材料、沟通审核问题和安排续期。证书签发由 CA 决定，迁移和混合内容处理由企业技术团队负责。把 HTTPS 迁移当成一次全站工程，而不是装完证书就结束，才能真正消除警告。
八、常见问题
问：证书有效，为什么浏览器仍显示不安全？
答：常见原因是混合内容、证书链不完整或域名不匹配，需要分别排查。
问：HSTS 可以立即开启吗？
答：不建议。先确认全站和子域 HTTPS 可用，再从较短 max-age 逐步增加。
问：旧文章里的 HTTP 图片必须全部替换吗？
答：应尽量替换，至少确保页面不加载被拦截的主动混合内容。批量替换后要抽样检查。