为什么必须上HTTPS
Google Chrome等浏览器会对非HTTPS网站标记为"不安全"——这直接影响用户信任度和SEO排名。搜索引擎已经明确表示HTTPS是排名因素之一。小程序或App中调用的API接口强制要求HTTPS。PCI DSS（支付卡行业数据安全标准）要求支付页面必须使用HTTPS。《网络安全法》和《个人信息保护法》对数据传输加密提出了明确要求。
说白了现在不上HTTPS就像开店不装门锁——既不安全也不体面。
证书类型选择
DV证书（Domain Validation，域名验证）：只验证域名所有权。几分钟就能签发。免费（Let's Encrypt）或几百元每年。适合90%的邢台中小企业网站。
OV证书（Organization Validation，组织验证）：验证域名加组织身份。需要提交营业执照等材料。价格几千元每年。地址栏会显示公司名称。适合电商、金融或需要展示企业身份的网站。
EV证书（Extended Validation，扩展验证）：最严格的验证。地址栏会显示公司名称（但Chrome已取消绿色栏标识）。价格万元以上每年。适合银行或大型电商平台。
通配符证书：保护主域名和所有子域名（*.example.com）。比单独买每个子域名的证书便宜。wildcard证书只支持下一级子域名。
Let's Encrypt 免费证书方案（推荐）
Let's Encrypt 提供免费的DV证书，完全满足大多数邢台企业的需求。使用 Certbot 工具可以全自动申请和续期：
安装Certbot（sudo apt install certbot python3-certbot-nginx for Ubuntu）。运行 sudo certbot --nginx -d yourdomain.com -d www.yourdomain.com。Certbot会自动获取证书并修改Nginx配置。设置自动续期（Certbot通常会自动设置cron或timer job）。证书有效期90天Certbot会自动在到期前30天续期。
整个过程不超过5分钟而且是完全免费的。没有理由不在你的网站上启用HTTPS。
Nginx配置要点
监听443端口并指定证书路径：ssl_certificate /path/to/fullchain.pem; ssl_certificate_key /path/to/privkey.pem;。启用现代TLS协议：ssl_protocols TLSv1.2 TLSv1.3;。选择安全的加密套件：推荐使用 Mozilla SSL Configuration Generator 来生成。开启HSTS：add_header Strict-Transport-Security "max-age=31536000" always;。HTTP到HTTPS的301跳转（让所有HTTP请求自动跳转到HTTPS）。
配置完成后用 SSL Labs 的在线测试工具（https://www.ssllabs.com/ssltest/）检测一下评分目标拿到A或A+。