简单流程检查表确保SSL生效

说实话，我以前一直觉得SSL证书这玩意儿，弄好了就一劳永逸了。直到上周，我帮一个朋友检查他新上线的个人博客，明明证书也部署了，小绿锁却死活不出来，浏览器那个红色“不安全”的警告看得人头皮发麻。我俩对着屏幕折腾了快俩小时，最后发现，嘿，原来就是一个最不起眼的步骤漏了。这事儿让我痛定思痛，连夜给自己整理了一份“SSL生效终极傻瓜检查表”。有了它，再也不用像个没头苍蝇一样到处乱撞了。

你的证书，真的“绑”对地方了吗？

这是最容易出岔子的第一步。很多人以为在服务器面板里上传了证书文件就算完事儿，其实不然。你得确认证书是绑定在你用来访问的那个确切域名上的。比如你的网站是 www.yourblog.com，但证书可能只签给了 yourblog.com（不带www），或者反过来。这时候访问另一个版本，浏览器照样会给你脸色看。我的检查表第一条就是：用浏览器的开发者工具（F12），点开“安全”选项卡，看清楚证书到底颁发给了谁。

别让混合内容毁了你的小绿锁

这是我朋友踩坑的地方，也是最隐蔽的“杀手”。你的主页面是HTTPS加载的，帅气得不行，但页面里如果引用了一个用HTTP加载的图片、样式表或者脚本，整个页面的安全性就会被拖下水，小绿锁瞬间消失。浏览器控制台的“控制台”或“网络”标签页里，通常会明确警告“混合内容”。我的检查表第二条，就是在HTTPS页面里，把所有资源链接里的“http://”手动改成“https://”，或者直接使用相对路径“//”。

• 检查所有图片的src链接。
• 检查CSS样式表和JavaScript文件的链接。
• 检查字体、视频等外部资源的引用。

重定向，是友军还是“内鬼”？

为了让用户访问更安全，我们通常会把所有HTTP请求强制跳转到HTTPS。这个设置本身没错，但配置不当就会形成死循环。想象一下：用户访问 http://site.com，被重定向到 https://site.com，然后这个HTTPS页面里又有个链接指向了 http://site.com/page…… 无限套娃，页面根本加载不完。

我的检查方法是：清空浏览器缓存和Cookie，然后分别用HTTP和HTTPS直接访问你的网站，观察跳转是否一次到位，页面资源是否都能正常加载。有时候，问题就藏在某个插件或主题的某个固定链接设置里。

最后一道保险：在线工具扫一遍

做完以上手动检查，我还会把网址丢进一两个在线的SSL检测工具里，比如 SSL Labs的SSL Server Test。这就像给网站做一次全身CT，证书链是否完整、支持的加密协议是否过时、有没有已知的漏洞，它都能给你列得明明白白，还附带修复建议。花一分钟，买个心安。

自从有了这份检查表，我再也没在SSL问题上栽过跟头。它不是什么高深技术，就是一份帮你把容易遗漏的角落都照亮的清单。下次你的小绿锁玩失踪时，别慌，按着表上的步骤，一步步来，准能把它找回来。