证书部署在 CDN 侧
为加速域名启用 HTTPS，需要先在 CDN 侧部署证书（上传自有证书或使用厂商托管证书），再由 CDN 边缘节点与客户端完成 TLS 握手；源站是否启用 HTTPS 是回源配置里的另一件事。证书按域名绑定与覆盖，多域名接入要逐一确认，域名与证书不匹配或证书过期都会直接导致访问失败。
基本信息
| 证书来源 | 上传自有证书、托管证书或免费 DV 证书，以产品支持为准 |
|---|---|
| 绑定范围 | 按加速域名部署，多域名需逐个覆盖 |
| 强制跳转 | 可开启 HTTP 强制跳转 HTTPS，证书未就绪前不建议开启 |
| 续期 | 证书过期会中断 HTTPS 访问，需提前替换 |
| SNI | 同一节点承载多域名时依赖 SNI 返回对应证书 |
典型使用场景
- 新域名接入后开启 HTTPS，并核对证书是否覆盖该域名
- 证书到期前替换，避免到期当天站点无法访问
- 排查部分客户端握手失败，检查证书链是否完整
- 多域名共用一张或多张证书时，确认绑定关系没有漏项
- 开启强制跳转前先确认 HTTP 与 HTTPS 都能正常响应
检查证书链与有效期
检查证书链与有效期
openssl s_client -connect cdn.example.com:443 -servername cdn.example.com </dev/null 2>/dev/null | openssl x509 -noout -subject -issuer -dates
# 查看服务端下发的完整证书链
openssl s_client -connect cdn.example.com:443 -servername cdn.example.com -showcerts </dev/null 2>/dev/null | grep -c 'BEGIN CERTIFICATE'常见报错与原因
| 现象 | 常见原因 | 处理方向 |
|---|---|---|
| 浏览器提示域名不匹配 | 证书的 SAN 未包含该加速域名 | 补签或更换证书 |
| 部分客户端握手失败 | 证书链缺中间证书 | 上传完整链 |
| 突然整站无法访问 | 证书已过期 | 替换并确认生效时间 |
| 部分老设备打不开 | TLS 版本或加密套件不兼容 | 评估调整协议版本 |
证书链要完整（含中间证书）：链不全时浏览器可能正常，但部分客户端与 SDK 会校验失败，属于典型的隐蔽问题。
强制跳转开启后，HTTP 请求会返回跳转状态码；如果前端有依赖 HTTP 的接口调用，需一并改为 HTTPS。
启用顺序
- 先部署证书并确认证书链完整、与加速域名匹配
- 验证 HTTPS 可正常访问后再开启强制跳转
- 跳转开启后复查前端接口调用与第三方回调地址