你的 HTTPS 真的配置对了吗？
一把小锁并不代表一切。检查证书、到期时间、TLS 版本、从 HTTP 的跳转和 HSTS，以及悄悄破坏小锁图标的不安全内容。
我们检查什么
- 网站能否通过 HTTPS 加载，以及
http://是否跳转到https://。 - 证书是否可信，以及距离到期还有多少天。
- 过时的 TLS 版本（RFC 8996 已弃用 TLS 1.0 和 1.1）。
- HSTS 是否存在及其 max-age。
- 混合内容：仍通过未加密的 HTTP 加载的脚本、图片或样式。
证书的有效期越来越短
公共 TLS 证书正在转向短得多的有效期，这让自动续期变得必不可少。如果你在用 Let’s Encrypt 和 certbot，现在就测试一下续期：
sudo certbot renew --dry-run跳转和混合内容的修复方法见 HTTPS 指南。
需要更深入的 TLS 审计？
已验证的所有者可以在深度扫描中获得完整的协议和加密套件审查。如果只想单独深入检查一次 TLS，Qualys SSL Labs 是权威工具，我们也推荐它。
常见问题
我怎么知道 SSL 证书什么时候到期？
运行免费扫描：它会显示剩余天数，并标出即将到期的证书。免费账户每月会复查一次。
我明明有证书，为什么没有小锁图标？
通常是混合内容：页面上的某些东西（常见的是图片或脚本）仍通过 http:// 加载。扫描会把它列出来，方便你修正网址。
我应该启用 HSTS 吗？
应该，前提是你使用的每个页面和子域名都能通过 HTTPS 正常访问。先用较短的 max-age，有把握后再提高到一年。
附可复制粘贴修复方法的指南
HTTPS 与混合内容
用一次 301 跳转强制使用 HTTPS，修复混合内容警告，避免 Cloudflare 跳转循环，并用 WP-CLI 更新 WordPress 中旧的 http:// 链接。
指南HSTS
HSTS 的作用、为什么先用较短的 max-age、何时使用 includeSubDomains 和 preload，并附可复制粘贴到 nginx、Apache 和 Cloudflare 的配置。
指南安全响应头
可直接复制粘贴到 nginx、Apache（.htaccess）、Cloudflare 和 WordPress 的 HTTP 安全响应头：HSTS、X-Content-Type-Options、防框架嵌入、Referrer-Policy 和 Permissions-Policy。
指南检查 SSL 证书
用六个步骤检查 SSL/TLS 配置：受信任的证书链、域名匹配、有效期与自动续期、仅启用 TLS 1.2/1.3、HTTP 到 HTTPS 的重定向以及 HSTS。附 nginx 和 Apache 的命令与配置。
更多免费检测
抢在别人之前了解你的评级。
免费开始。付费套餐每月 12 美元起，或 29 美元购买单次报告。 查看价格