申请 HTTPS
在如今的互联网世界，HTTPS 已经成为网站的基本门槛。它不仅保护用户数据的传输安全，还能提升用户信任、提升搜索排名，以及让浏览器对你的网站给出更友好的“安全”信号。下面是一份实用的指南，帮助你理解 HTTPS、以及在不同场景下如何获取和使用它，尤其是对在 Google 网站发布的读者友好型操作。
一、HTTPS到底是什么，为什么重要
- 什么是 HTTPS：HTTPS 是在 HTTP 之上加入 TLS/SSL 加密层的通信协议，确保客户端与服务器之间的传输内容不被窃听、篡改或伪造。同时，它也验证了服务器的身份，防止中间人攻击。
- 为什么要用 HTTPS：数据传输加密、保护登录信息和支付信息、提升用户信任、避免浏览器发出警告、对搜索引擎友好。简单说，HTTPS 不再是“可选项”，而是网站的基本组成部分。
二、在 Google 网站（Google Sites）上获得并启用 HTTPS 的要点
- Google Sites 的默认状态：大多数情况下，Google Sites 发布的站点都会自动通过 HTTPS 提供服务。也就是说，只要你按常规方式发布站点，访问地址就是以 https 开头的。
- 使用自定义域名时的情况：如果你选择绑定一个自定义域名（例如你的域名是 yourdomain.com），Google 会为该域名提供并管理 TLS/SSL 证书。你需要完成域名的绑定步骤，通常涉及在域名注册商处的 DNS 配置以及在 Google Sites 中完成域名绑定。
- 简要操作要点（适用于希望绑定自定义域名的用户）： 1) 拥有一个域名（若没有，可以通过域名注册商购买）。 2) 将域名绑定到 Google Sites（通过 Google Domains 或你现有的 DNS 提供商进行域名解析和域名绑定配置）。 3) 在 Google Sites 中完成自定义域名设置与站点发布，系统会自动处理 TLS/SSL 证书的申请与续期。 4) 等待生效并访问你的自定义域名，通常会看到安全锁标识，页面通过 HTTPS 提供。
- 需要注意的点：具体的 DNS 记录形式（如 CNAME、A 记录等）以及在 Google Sites 中绑定域名的界面可能会随平台更新而变化。若遇到问题，查阅最新的 Google 支持文档或联系域名注册商的客服通常能快速解决。
三、如果你是自行托管网站，如何申请并部署 HTTPS（非 Google Sites 场景）
- 选择证书颁发机构（CA）：Let's Encrypt 是免费且广受欢迎的选项，也有商业证书（如 DigiCert、GlobalSign 等）。
- 证书类型简述：DV（域名验证）证书对大多数网站足够，EV/OV 证书在企业场景中更注重身份展示。
- 获取和安装流程（通用步骤）： 1) 验证域名所有权：证明你对域名的控制权。 2) 颁发证书：通过你选择的 CA 申请证书。 3) 安装证书：将证书安装到你的网站服务器上（如 Apache、Nginx、IIS 等）。 4) 配置 TLS：开启 TLS、禁用旧版本和弱加密、启用现代加密套件、考虑开启 HTTP/2。 5) 强制跳转到 HTTPS：设置 301 永久重定向，将所有 HTTP 请求重定向到 HTTPS。 6) 测试与监控：使用 SSL Labs、浏览器控制台和站点监控工具检查证书有效性、链路完整性和性能。
- 额外的安全做法：开启 HSTS（严格传输安全）、定期续期证书、确保站点内容不混合加载（https 页面不要加载 http 的资源）、保留有效的证书备份。
四、迁移与维护的最佳实践要点
- 全站重定向：确保所有入口都走 HTTPS，避免出现混合内容与不安全提示。
- 更新内部链接与资源：站内链接、图片、脚本、样式表等尽量使用相对路径或强制 HTTPS 的地址。
- 提交/更新站点地图：如果你有搜索引擎站长工具的账号，更新站点地图，确保搜索引擎抓取 HTTPS 版本。
- 监控证书状态：设置证书到期前提醒，避免服务中断。
- 技术层面的优化：启用 HTTP/2 或 HTTP/3 提升并发与加载速度，结合缓存策略提升站点性能。
五、给在 Google 网站使用者的实用建议
- 若你的站点以 Google Sites 为主，那么你大概率无需手动申请证书；HTTPS 将由系统自动处理。确保你的站点在发布后通过 https 打开，并在需要时绑定自定义域名以获得专业品牌形象。
- 使用自定义域名时，优先选择可信的域名注册源，并严格按照 Google 的域名绑定流程操作。绑定完成后，HTTPS 将成为域名的默认访问协议，用户在地址栏看到的锁形图标就代表安全连接。
- 保持简洁的安全策略：优先使用强加密、禁用过时协议、并持续关注浏览器对你站点的安全提示。