SSL (https)

SSL、TLS和https是一回事吗？

基本上是同一个意思。SSL是老一代技术的名称，现在实际使用的是下一代的TLS，只是大家习惯了，一直沿用SSL这个叫法。

https就是在网址协议（http）上加了这层加密。给网站装上“SSL证书”后，网址就会以https打开。

证书既是加密的钥匙，也是证明“这个网址的主人没错”的认证印章。顾客的浏览器会先通过证书确认网址是真的，再建立加密连接。

所以服务商说“启用SSL”“设置TLS”“切换到https”时，您基本可以理解为指的是同一件事。您需要确认的不是技术名称，而是顾客打开网址时能否以https正常打开、不弹出警告。

免费和付费的SSL证书有什么区别？

不管免费还是付费，加密强度都一样。区别在于签发时“核实到什么程度”。免费证书只自动核实您是不是网址的主人，贵的证书还会通过文件核实公司是否真实存在。

以前用经过公司核实的证书，地址栏里会用绿色大字显示公司名称，但现在主流浏览器基本取消了这种特别标识。所以街边小店或普通网上商城，大多数情况下用免费证书就够了。

最有代表性的免费证书签发机构是Let’s Encrypt。很多托管公司和部署平台都会自动为网站安装并续期这类免费证书。

值得考虑付费证书的情况，大概只有合作方或投标文件要求特定证书的时候。如果没有这类要求，比起昂贵的证书，能否确保自动续期对顾客体验重要得多。

SSL证书有效期多长？为什么会到期？

证书只能使用几个月到不满1年的时间，而且有效期正在变得越来越短。这是故意设计得短一些，即使钥匙泄露，也能缩短受损的时间。

比如Let’s Encrypt目前签发的是90天证书，并已公布计划：从2027年2月起缩短为64天，从2028年2月起缩短为45天。这样的周期很难每次都靠人工续期，所以自动续期几乎是必需的。

因此，比起“有没有买证书”，确认“是否在自动续期”更重要。自动续期一旦因为某种原因停止，到期日的第二天顾客页面上就会立刻弹出警告。

自动续期通常由托管或部署平台自动完成，但更改域名连接设置或更换服务商之后，续期有时会悄悄停掉。做完较大的变更后，确认一下证书到期日是否已经顺延，会更安心。

有了SSL就能防黑客吗？

不能，SSL只保护顾客和网站之间“往来的通道”。它能防止顾客在咨询表单里填写的姓名和电话在传输途中被偷看或篡改，但并不保护网站服务器或管理员账号本身。

所以即使是https网站，如果管理员密码泄露，或者旧程序的漏洞一直没修补，照样可能被黑。服务器和管理后台的安全，需要另外通过更新、密码管理和备份来保障。

对顾客来说，“只要是https就一定可信”也不对。假冒网站同样能申请免费证书，所以还要同时确认网址是否正确。店铺用短信发送支付链接或预约链接时，始终使用同一个主网址，顾客就不容易搞混。

http网站怎么换成https？

光装上证书还不够，还要把通过旧http网址访问的顾客和搜索引擎顺畅地引导到https。漏掉这一步，同一个页面就可能被拆成两个网址显示，或者夹杂着警告。

迁移得当的话，原有的搜索曝光大多都能延续。Google说明，同样的内容在http和https下都能打开时，通常会选https网址作为代表，所以只要把301跳转一个不漏地设置好，搜索结果也会自然转到https网址。

1. 01请托管服务商或制作公司签发证书并设置自动续期。
2. 02确认主网址和www网址都能以https打开。
3. 03设置从http进入时自动跳转到https（301重定向）。
4. 04页面里的照片 · 视频 · 链接地址也改成https。只要有一个还是http，就会出现“混合内容”警告。
5. 05确认在Google Search Console和Naver Search Advisor里登记的网站地址是https。
6. 06把名片二维码 · 广告 · 社交媒体主页里的链接改成https网址。

网站为什么会显示“不安全”警告？

大多是因为证书已到期、证书上写的网址和实际网址不一致，或者页面里混有通过http加载的文件。顾客设备的日期和时间不准，也可能出现类似的警告。

不同浏览器的显示方式也不一样。比如Chrome在安全的网址上也可能显示其他样式的图标而不是小锁，所以看不到小锁不一定就是有问题。最可靠的办法是看网址是否以https开头、有没有警告文字。

发现警告时，请把是哪个网址、用什么设备、显示了什么文字截图发给服务商。如果是证书到期这类紧急问题，顾客可能已经没法预约或咨询了，最好马上通知。

• 证书是否同时覆盖www网址和主网址？
• 自动续期开着吗？续期失败时谁会收到通知？
• 页面里有没有通过http加载的照片或文件？