给站点装一张证书，浏览器地址栏会出现锁标；但站内只要还有一处 `http://` 的资源，这一处就会被打上「不安全」的标记。HTTPS 的完整交付包含五件事：证书、强制跳转、混合内容清理、自动续期、旧链接重定向。
一、证书本身
单域名、通配符、多域名三种。有二级域名的站点用通配符更省事，否则每个子域都要单独签。
免费证书（如 Let's Encrypt）够用，代价是九十天到期，必须配自动续期。
二、强制跳转
把所有 http:// 请求 301 到 https://，WWW 与非 WWW 二选一并统一。四种组合（http/https × www/非www）要收敛到一个规范版本，否则同一页面会有四个地址，权重分散。
三、混合内容
页面是 https，但里面引用了 http 的图片、脚本、样式、字体，浏览器会把整页标成不安全。检查方法：开发者工具的 Console 会明确列出被拦截的请求。
常见来源：旧编辑器里粘的图片链接、第三方统计代码、外部字体。
四、自动续期
证书过期当天站点会全站报错，比没装还糟。免费证书必须配续期任务，并在到期前三十天做一次告警。
五、老链接重定向
从 http 到 https 之后，外部旧链接要能正常跳到新地址，而不是 404。这一条同时影响外链价值和用户体验。
检查顺序
- 四种 URL 形态是否都收敛到一个
- Console 有无混合内容警告
- 证书到期时间与续期方式
- 外部旧链接是否 301 而非 404
改版换域名时还要多做一层重定向，见改版不掉排名。
上线当天的检查顺序
切换 HTTPS 的当天，按这个顺序走，出问题最容易定位：
- 先让
https://直连可用（证书链完整、无警告） - 再开 301 从
http://跳过来 - 然后统一 www 与非 www（四选一）
- 最后清混合内容，逐页看 Console
顺序反过来，会在「页面打不开」和「跳转循环」之间来回折腾。
切换后 48 小时内看两处：Search Console 的抓取错误、服务器日志里的 404 峰值。这两处能第一时间暴露漏配的重定向。