将http网站升级为https网站的方法指南

将http网站升级为https网站的必要条件就是申请SSL证书，成功申请SSL证书就可以将http网站升级为https网站，具体操作教程如下：

一、获取证书

升级到HTTPS协议的第一步，就是要获得一张证书，证书是一个二进制文件，里面包含经过认证的网站公钥和一些元数据，安全可信的SSL证书需要向CA机构(证书授权颁发中心)申请，通过严格的审查后才给予颁发。沃通CA可提供高端品牌的DigiCert/Symantec、GeoTrust、GlobalSign证书，以及便宜的Comodo的SSL数字证书，供大家选择。

证书有很多类型，首先分为三种认证级别。

域名认证（DV SSL证书）：最低级别认证，可以确认申请人拥有这个域名。对于这种证书，浏览器会在地址栏显示一把锁。

公司认证（OV SSL证书）：确认域名所有人是哪一家公司，证书里面会包含公司信息。

扩展认证（EV SSL证书）：最高级别的认证，浏览器地址栏会显示公司名。

还分为三种覆盖范围。

单域名SSL证书：只能用于单一域名；

通配符证书：可以用于某个域名及其所有一级子域名，比如*.wosign.com的证书可以用于wosign.com，也可以用于www.wosign.com；

多域名SSL证书：可以用于多个域名，比如wosign.com和wosign.net；

认证级别越高、覆盖范围越广的证书，价格越贵，还有一个免费SSL证书的选择。拿到证书以后，可以用SSL Certificate Check检查一下，信息是否正确。

二、安装证书

证书可以放在/etc/ssl目录（Linux 系统），然后根据你使用的Web服务器进行配置。证书配置文件生成器，by Mozilla 配置文件模板，可联系安装SSL证书在线客服协助安装，安装成功后，使用ssl检测工具检查一下证书是否生效。

三、修改链接

下一步，网页加载的HTTP资源，要全部改成HTTPS链接。因为加密网页内如果有非加密的资源，浏览器是不会加载那些资源的。

四、301重定向

下一步，修改Web服务器的配置文件，使用301重定向，将HTTP协议的访问导向HTTPS协议。

Nginx 的写法。

server { listen 80; server_name domain.com www.domain.com; return 301 https://domain.com$request_uri;}

Apache 的写法（.htaccess文件）。

RewriteEngine OnRewriteCond %{HTTPS} offRewriteRule (.*) https://%{HTTP_HOST}%{REQUEST_URI} [R=301,L]

五、安全措施

以下措施可以进一步保证通信安全。

5.1 HTTP Strict Transport Security (HSTS)

访问网站时，用户很少直接在地址栏输入https://，总是通过点击链接，或者301重定向，从HTTP页面进入HTTPS页面。攻击者完全可以在用户发出HTTP请求时，劫持并篡改该请求。另一种情况是恶意网站使用自签名证书，冒充另一个网站，这时浏览器会给出警告，但是许多用户会忽略警告继续访问。

“HTTP严格传输安全”（简称HSTS）的作用，就是强制浏览器只能发出HTTPS请求，并阻止用户接受不安全的证书。它在网站的响应头里面，加入一个强制性声明。

Strict-Transport-Security: max-age=31536000; includeSubDomains

上面这段头信息有两个作用。

（1）在接下来的一年（即31536000秒）中，浏览器只要向example.com或其子域名发送HTTP请求时，必须采用HTTPS来发起连接。用户点击超链接或在地址栏输入http://www.example.com/，浏览器应当自动将http转写成https，然后直接向https://www.example.com/发送请求。

（2）在接下来的一年中，如果example.com服务器发送的证书无效，用户不能忽略浏览器警告，将无法继续访问该网站。HSTS很大程度上解决了SSL剥离攻击。只要浏览器曾经与服务器建立过一次安全连接，之后浏览器会强制使用HTTPS，即使链接被换成了HTTP。

该方法的主要不足是，用户首次访问网站发出HTTP请求时，是不受HSTS保护的。如果想要全面分析网站的安全程度，可以使用Mozilla的Observatory。

5.2 Cookie

另一个需要注意的地方是，确保浏览器只在使用HTTPS时，才发送Cookie。网站响应头里面，Set-Cookie字段加上Secure标志即可。

Set-Cookie: LSID=DQAAAK…Eaem_vYg; Secure

将http网站升级为https网站的方法指南相关推荐

解决火车头7.6版本无法采集部分https网站处理方法
因为现在大多数网站都采取https,导致很多网站无法采集.那哪行,肯定得有解决办法,今日就说说关于火车头采集器7.6版本无法采集部分https网站处理方法. 火车头7.6版本由于发布时间久远,虽然采集 ...
proxifier访问https错误_教你实现IE访问https网站不出错方法
不同的系统出现的问题是不一样的,有小伙伴在电脑账打开我们的网站的时候发现不能正常的打开我们的电脑出现,是否只查看安全传送的网页内容的错误的提示,那我们遇到这个问题应该怎么处理访问https网站呢,今天 ...
一个Https网站发送Http的 ajax请求的解决方法
一个Https网站发送Http的 ajax请求的解决方法参考文章: (1)一个Https网站发送Http的 ajax请求的解决方法 (2)https://www.cnblogs.com/yuming ...
网站域名服务器加密,网站域名利用https防劫持方法
原标题:网站域名利用https防劫持方法公共 DNS.HttpDNS 的部署成本过高,并且具有一定的技术门槛,在面对无孔不入的 DNS 劫持时有时候其实有点力不从心. 那么如何简单有效低成本的加强域 ...
win10 1803版本Chrome(谷歌浏览器),360浏览器极速内核打不开https网站的解决方法
win10 1803版本Chrome(谷歌浏览器),360浏览器极速内核打不开https网站的,总是超时或者卡顿.1803的345版本是可以打开的,但是376版本就不行了.经过研究发现用以下方法可以解 ...
网站服务器如何配置跳转,http自动跳转https的配置方法
IIs中实现Http自动转换到Https方法介绍 (403跳转对SEO有一定影响) 1.下载安装URL重写模块:Microsoft URL Rewrite Module 32位:http://down ...
https网站打不开怎么办？解决方法看这里
https网站(即安装了SSL证书的网站)打不开的情况也会经常出现,不论是什么网站,只要长时间打不开就会影响到用户体验度和网站本身的流量情况,对于网站的优化也是非常不利的.如果出现了这种情况该怎么解决 ...
360浏览器访问https网站直接跳转 se://error/ 或者se://errorpage/问题（无法打开网站，网页走丢了）解决方法
最近发现360浏览器访问某个https://网站直接跳转 se://error/ 或者se://errorpage/具体如下用其他浏览器,例如chrome就可以正常访问那个https网站.所以问题出 ...
火狐访问HTTPS网站显示连接不安全的解决方法
在小强python全栈自动化测试班中偶然遇到了该现象特此总结下.官网:http://xqtesting.sxl.cn 现象: 访问https网站的时候火狐提示不安全,不让访问,其他浏览器没事解决方案 ...

将http网站升级为https网站的方法指南

将http网站升级为https网站的方法指南相关推荐

最新文章

热门文章