很多老板在找我做企业网站或者小程序的时候，都会问一句："左左，这个SSL证书是不是必须买？我看网上有免费的，也有几百几千的，差别到底在哪？"今天就用大白话给大家讲清楚，HTTPS这件事到底要不要做、怎么做、怎么避坑。

一、先搞明白：HTTP和HTTPS到底差在哪

你可以把HTTP理解成"裸奔"，用户访问你的网站时，输入的账号、密码、手机号、地址这些信息，都是明文在网络上传输的。中间只要有心人截一下，数据就泄露出去了。

HTTPS就是在HTTP外面加了一层加密通道。这层加密由SSL证书来实现，相当于给你的网站配了一把"锁"。用户和网站之间传输的数据被这把锁保护起来，外人即使截到了，也看不懂。

现在主流浏览器对没有HTTPS的网站都会提示"不安全"三个大字。你自己想想，客户打开你的网站，地址栏弹出一个红色警告，心里会怎么想？大概率会关掉页面，去找别家。

二、企业网站为什么建议做HTTPS

很多企业网站看起来就是放几页介绍、几个联系方式，好像没什么敏感数据。但我跟你说，只要你的网站有表单、有在线咨询、有会员登录，甚至只是记录访客行为，HTTPS都是有必要的。

首先是信任感。客户看到你地址栏前面有一把小锁，会觉得这家公司正规、靠谱。反过来，一个提示"不安全"的企业官网，给人的头一印象就打了折扣。

其次是搜索引擎。百度和谷歌都公开说过，HTTPS是排名的一个参考因素。同样内容的两家企业站，HTTPS的那个在收录和排名上会占点优势。这不是我瞎说，是他们官方文档里写明的。

再有就是数据保护。比如客户在你网站上填写询价单、留下手机号，这些信息如果不加密，被中间人截走，麻烦就大了。尤其是做外贸独立站的老板，国外客户对网站安全非常敏感，看到"不安全"基本扭头就走。

三、小程序更严格：没有HTTPS根本上不了线

如果说企业网站是"建议做HTTPS"，那小程序就是"必须做"。

微信小程序的后台要求，所有请求域名都必须配置成HTTPS。你的接口、图片、音视频、H5页面，全部都要走HTTPS。如果证书有问题，小程序在真机上直接请求失败，功能直接瘫痪。

另外，微信支付、登录授权这些核心能力，也强制要求HTTPS。没有证书，支付功能都接不进去。所以做小程序的老板，千万别在这个地方省钱。

四、SSL证书有几种？怎么选

市面上常见的SSL证书分为三种：DV、OV、EV。

DV证书叫域名型证书，只验证域名的所有权。审核很快，通常几分钟就能下发，价格也很便宜，很多免费证书就是DV。普通企业网站、小程序接口、个人博客用DV完全够了。

OV证书叫企业型证书，除了验证域名，还要验证企业信息。证书详情里能看到企业名称，适合对品牌形象要求比较高的公司。价格一般在几百到一千多一年。

EV证书叫增强型证书，审核更严格，地址栏会直接显示企业名称。以前很多银行、大型电商平台会用，现在主流浏览器对它的展示效果削弱了，价格又贵，性价比不如以前高。一般中小企业没必要追这个。

总结一句话：普通网站和小程序，DV证书就够用了；要做品牌背书，可以考虑OV；EV现在性价比一般，不是优先选择。

五、买证书和配证书，这几个坑千万别踩

1. 自己生成自签名证书

有些技术图省事，用OpenSSL自己签一个证书装上。结果是浏览器不认，打开网站会弹一个大大的警告页，比普通HTTP还吓人。自签名证书只适合自己内部测试，千万别放到正式环境。

2. 证书过期没续费

SSL证书是有有效期的，一般一年到两年。到期之前必须续费、重新安装。我见过有老板网站突然打不开，查了半天发现是证书过期了。现在很多云厂商支持自动续期，买的时候一定要问清楚。

3. 域名和证书不匹配

你买的证书如果是给www.xxx.com的，但用户访问的是xxx.com，浏览器照样报不安全。还有二级域名，比如m.xxx.com、api.xxx.com，如果用单域名证书，每个子域名都要单独配。如果子域名多，可以直接上通配符证书。

4. 页面里还混着HTTP资源

网站已经配了HTTPS，但页面里引用的图片、CSS、JS还是HTTP地址，这就叫"混合内容"。浏览器依旧会提示不安全，甚至直接阻止加载。解决办法就是把所有资源链接都改成HTTPS，或者使用相对路径。

5. 只装了证书，没做HTTP强制跳转

有些用户习惯直接输入不带https的网址，如果服务器没做301跳转，还是会走到HTTP版本。正确做法是配置强制跳转，所有HTTP请求自动跳到HTTPS，保证每个访客看到的都是加密版本。

6. 免费证书不会自动续期

Let's Encrypt这类免费证书很好，但有效期短，一般三个月。如果你的服务器不会自动续期，到期忘记手动更新，网站就挂了。用免费证书的前提是你得有运维能力，或者服务商帮你管续期。

六、SSL证书要花多少钱

DV证书很多云厂商头一年免费，或者几十到两百一年。通配符DV会贵一些，几百到一千多。OV证书一般几百到两千。EV证书以前几千上万，现在用得少了。

如果你是找我们博阳网络做企业网站、外贸独立站或者小程序，证书这块通常我们会帮你一起配置好，不用你自己折腾。尤其是小程序，域名、服务器、HTTPS、备案这些环节环环相扣，任何一个出问题都会影响上线。

七、说到底，HTTPS是基本功，不是加分项

十年前HTTPS还是高配，现在已经是网站和小程序的标配。企业网站做HTTPS，是为了让客户信得过、让搜索引擎更友好；小程序做HTTPS，是微信官方强制的入门门槛。

不要为了省几百块钱，让客户在浏览器里看到"不安全"的提示。这种损失的不是证书钱，是客户对你的头一印象。如果你不确定自己现在的网站证书有没有问题，可以复制网址发给我，我帮你看看。

关注左左，你需要一个懂技术的朋友。