准备把所有页面切换到 HTTPS，先别急着改跳转规则。对于域名较多、系统年代不一或由多方维护的网站，证书部署与全站加密访问配置应从证书盘点开始：先确认每个对外入口由谁提供服务、证书装在哪里，再评估切换风险。
这几类网站尤其需要先盘点
- 域名和子域名较多：除主站外，还存在活动页、用户中心、文件下载或测试后转为正式用途的地址。遗留入口可能仍被书签、邮件或外部链接访问。
- 系统由不同团队或供应商维护：例如主站部署在自有服务器，在线表单由第三方平台承载，域名证书和续期工作可能分属不同人员。
- 存在旧页面或嵌入内容：页面自身虽能通过 HTTPS 打开，图片、字体、脚本或表单提交地址仍可能使用 HTTP，导致资源被拦截或浏览器显示安全警告。
- 流量经过多个网络节点：证书可能配置在 CDN、负载均衡器或源站，外部访问成功不代表每一段连接都已正确配置。
简单的单域名网站，如果域名归属清楚、证书由托管平台自动续期且没有旧入口，盘点可以较轻量；但只要无法确定某个地址的负责人或证书位置，就不宜直接全站强制跳转。
盘点时要核对什么
从访问入口和实际流量开始
列出当前仍对外使用的主机名，并逐项记录用途、解析目标、维护人和最近使用情况。可以查看 DNS 管理记录、站点配置、服务器访问日志以及业务文档；对于停用地址，先确认没有客户、合作方或内部系统依赖，再决定保留或下线。
随后检查证书覆盖的域名、有效期、签发机构、部署位置和续期方式。通配符证书通常只覆盖对应层级的子域名，不能据此推断根域名也已覆盖；多个名称共用一张证书时，还要确认各入口是否都应由同一方管理。记录私钥存放和访问权限，避免把私钥随配置文件随意复制。
确认加密连接在哪些位置终止
以 example.org 为例，如果访客先连接边缘代理，再由代理连接源站，应分别确认两段连接的证书与加密设置；若加密只在边缘节点终止，源站到代理之间可能仍是明文传输。代理还需正确传递原始协议信息，否则应用可能误判请求为 HTTP，生成错误的跳转或链接。
按顺序完成检查与切换
- 建立清单：登记主机名、用途、解析目标、证书到期日、部署节点、续期负责人及依赖方；无法确认的项目标记为待核实，不要直接删除。
- 先补齐证书：为每个仍在使用的入口配置覆盖准确的证书，并验证证书链、私钥匹配和自动续期流程。证书更换后，应从外部网络检查实际返回结果。
- 修复页面引用：将站内图片、样式、脚本、表单和跳转地址改为 HTTPS，并检查内容管理系统、模板和嵌入代码中的旧链接。外部服务若不支持加密，应先评估替代方案。
- 小范围验证：先选择低风险页面或测试环境检查登录、表单提交、文件下载、回调及重定向；确认没有循环跳转、证书警告或关键功能失败后，再扩大范围。
- 启用全站跳转并持续监控：从 HTTP 跳转到 HTTPS 后，观察访问日志、错误率和外部集成反馈。确认所有入口稳定，再考虑启用 HSTS；其缓存策略会影响后续回退，不能作为排查问题的第一步。
哪些情况不适合立即强制跳转
如果证书即将到期但续期无人负责、旧接口仍被设备或合作方调用、源站和代理的协议识别不一致，或页面依赖的第三方资源无法通过 HTTPS 获取，应先解决这些问题。证书部署与全站加密访问配置不是单纯的跳转设置：遗漏一个仍在使用的入口，就可能造成访问失败或服务中断。
完成盘点后，为每张证书设定到期提醒，并让续期流程有明确负责人和验证步骤。这样不仅能降低切换风险，也能避免证书过期后才发现某个不常访问的业务入口仍依赖它。
常见问题
只有一个主站，也要盘点吗？
建议至少核对主机名、证书覆盖范围、到期时间和续期责任；确认没有其他入口后，可采用简化清单。
证书有效期正常，是否就代表配置无误？
不一定。还要检查证书是否覆盖当前访问的名称、证书链是否完整，以及实际流量经过的节点是否都按预期加密。
能否先跳转，发现问题再处理？
不建议。旧资源、回调或未覆盖的子域名可能因此不可用；先在小范围验证，再逐步启用更稳妥。
总之，凡是域名、维护方、证书部署位置或外部依赖不止一处的网站，都应先完成盘点。把覆盖范围、续期责任和流量路径确认清楚，再推进证书部署与全站加密访问配置，才能让安全改造与业务连续性兼顾。
