现在用浏览器打开一个没有 HTTPS 的网站，地址栏会明晃晃地挂着"不安全"三个字。对一个陌生访客来说，这个提示基本等同于"别在这留电话"。所以这个问题其实没什么讨论余地，企业站必须上 HTTPS。
HTTPS 到底带来什么
它做的事情是加密传输：用户在浏览器和服务器之间传的数据，中间人看不懂也改不了。对企业站来说，最实在的好处有三个：
- 表单数据不会被截获：客户留的姓名、电话、需求，在公共网络下不会被窃听
- 浏览器不再报警：地址栏显示锁形图标，而不是红色的不安全提示
- 搜索引擎给加分：HTTPS 早已是公认的排名信号，虽然权重不大，但在其他条件相当时就是差别
证书怎么选
证书类型不必追求最贵的，按需求来：
- 域名验证型（DV）：验证域名归属，几分钟就能签发，绝大多数企业站够用，很多还能免费申请
- 组织验证型（OV）：会核验企业主体信息，地址栏能看到公司名，对信任感有要求的场景更合适
- 扩展验证型（EV）：审核最严，价格也高，金融、支付类网站可以考虑
如果网站涉及提交身份证号、银行卡这类信息，建议至少上 OV；普通的展示型官网加咨询表单，DV 就足够了。
部署时要注意什么
装完证书只是第一步，下面几件事一起做完才算完整：
- 全站 HTTP 做 301 跳转到 HTTPS，包括图片、CSS、JS 这些资源地址
- 检查混合内容：页面里如果还有
http://开头的资源，锁形图标不会正常显示，控制台会有警告 - 把规范链接和站点地图里的地址全部改成 HTTPS，否则搜索引擎会认为这是两个站点
- 开启 HSTS：告诉浏览器以后只用 HTTPS 访问，省掉一次跳转，也更安全
- 设置自动续期：证书过期会导致网站打不开，免费证书有效期通常只有三个月，一定要配自动续签
其中混合内容是最常见的疏漏。老网站上的图片往往是几年前用绝对地址写的，改成相对路径或者批量替换成 HTTPS 就能解决。
上线后怎么检查
浏览器打开看地址栏有没有锁，点开证书看有效期和签发对象。再用在线的 SSL 检测工具跑一下，它会告诉你协议版本、加密套件、证书链是否完整。
最后去搜索资源平台，把 HTTPS 版本的站点单独提交一次，并观察几周内的收录变化。原先 HTTP 版本的排名会有短暂波动，属于正常现象，跳转做得干净的话很快会恢复。
安全这件事，做对了没人夸你，做错一次客户就记住了。
—— 一位处理过数据泄露事故的 IT 主管