证书安装成功，不等于全站加密已经可靠。一个常见遗漏是主页面使用 HTTPS，但某个子域名、图片地址或自动续期任务仍未处理。做好证书部署与全站加密访问配置，建议按以下七项逐一核对，并在上线后复查。
1. 核对证书覆盖的主机名
先列出用户实际访问的域名，包括裸域名、带 www 的地址，以及确实对外提供服务的子域名。检查证书的 SAN（主题备用名称）列表是否覆盖这些名称。通配符证书通常只覆盖其对应层级，不能据此推断更深层的子域名也受保护。
逐个访问需要启用 HTTPS 的主机名，确认浏览器显示的证书名称匹配。已经停用或不再对外开放的主机名，不必为了“覆盖全面”而继续纳入证书清单。
2. 检查证书链是否完整
服务器通常需要同时提供站点证书和所需的中间证书。若只配置站点证书，部分浏览器或客户端可能无法建立可信连接。部署时使用证书颁发机构提供的完整链文件，并在 Chrome 或 Firefox 的证书查看界面检查签发者与有效期。
更换证书后也要复查链路；不要把根证书随意拼进服务器发送的链中，具体文件组合应以颁发机构的说明为准。
3. 确认证书与私钥匹配
在 Nginx、Apache 等服务中，证书路径和私钥路径必须对应同一次签发。配置文件能通过语法检查，不代表加载的证书就是预期版本。部署后查看线上证书的主机名、序列信息和到期时间，并确认私钥文件权限仅允许必要的服务账户读取。
4. 把续期流程纳入检查
使用 ACME 客户端自动签发时，不能只确认首次签发成功。以 Certbot 为例，应检查定时任务或 systemd 定时器是否启用、续期所需的验证方式是否仍可用，并按当前环境执行续期测试。测试通过后，再确认服务能重新加载新证书。
- 查看当前证书到期日和续期任务状态。
- 在测试环境或客户端提供的模拟续期模式中验证流程。
- 确认续期后服务重新加载配置，并从外部复查线上证书。
自动续期能减少人工遗漏，但域名解析、验证目录或服务权限发生变化时，仍可能失败，因此应关注任务报错。
5. 验证 HTTP 跳转与站内链接
分别访问 HTTP 和 HTTPS 地址，确认 HTTP 请求会跳转到预期的 HTTPS 页面，且不会在多个地址间循环跳转。检查页面中的规范链接、表单提交地址和内部导航，避免仍指向 HTTP。若前端由代理或负载均衡器终止 TLS，应用还需正确识别原始请求协议，否则可能生成错误的跳转地址。
6. 清理混合内容
混合内容指 HTTPS 页面仍通过 HTTP 加载图片、脚本、样式表或字体。打开浏览器开发者工具的控制台和网络面板，按资源地址筛查告警与失败请求；将自有资源改为 HTTPS，并核实第三方资源确实支持安全连接。不要仅依赖浏览器自动升级，因为不同资源和浏览器的处理方式可能不同。
7. 谨慎启用 HSTS 并复测
确认 HTTPS 访问、续期和子域名证书均稳定后，再考虑启用 HSTS。该策略会要求浏览器后续使用 HTTPS；若设置覆盖子域名，而其中仍有不支持 HTTPS 的服务，用户可能无法正常访问。先采用较短的策略期限观察，再根据实际域名范围调整，不要未经评估就提交预加载申请。
上线后的复核方法
证书部署与全站加密访问配置完成后，至少从外部网络复查代表性页面和接口：确认浏览器无证书告警、跳转正确、关键资源加载成功，并记录证书到期日与续期责任人。发布、域名变更、代理调整或证书更新后重复检查，可更早发现配置回退。
常见问题
证书有效期内还需要检查吗？
需要。有效期不能说明续期任务可用，也不能保证证书链、域名覆盖和页面资源配置正确。
HTTPS 页面出现资源警告怎么办？
在开发者工具中定位具体请求，将可控资源改用 HTTPS，并确认第三方资源提供方支持安全访问。
什么时候适合启用 HSTS？
在 HTTPS 已稳定覆盖目标主机名、续期可持续运行且回退方案明确后再启用，并谨慎设置子域名范围。
部署后应由谁复查？
由负责域名、服务器或发布流程的维护人员按清单复核，并明确续期失败时的告警接收人与处理责任。
