众所周知，Chrome的68版会将未使用 https 加密的网站标记为「不安全」。可以说 Google 是在不遗余力地推广传输层安全协议。
响应 Google 的号召。当我得知 https 证书也有一些免费版本可用时，就决定给自己的博客加上 https。
略过各种方案的比较和选择，这里直接记录（我认为）个人博客网站添加 https 证书的最佳实践：
服务器添加安全证书
我参考了这篇：
Let’s Encrypt 给网站加 HTTPS 完全指南
但你不用按那篇文章里的步骤来，因为它已经是2年前的文章了，现在可是8102年，事情变得很简单：
只需在服务器上安装 certbot， 它自动帮你完成一系列的证书配置和验证操作。（需要对服务器有足够权限）
网址在：
https://certbot.eff.org/
我选择了
Apache on Ubuntu 16.04 (xenial) ，页面的提示如下：
不一定跟我一样，选择你自己的
操作系统和
服务器软件，certbot 页面上会提供对应的安装方法。
安装后继续按照 certbot 页面的说明
get start ，程序的交互式界面会引导你进行选择和配置。
跟随引导进行操作，完成后网站就被 Let’s Encrypt 提供的 SSL/TLS 证书保护起来了。是不是很有安全感！
（完成证书配置后，certbot 会提示你到
https://www.ssllabs.com/ssltest/index.html 网站去检测 SSL web server 的安全性。最终的评价等级其实取决于你的证书授权机构、它使用的加密协议、能被哪些平台兼容…
作为安全通信方面的小白，我其实不太清楚怎么去确认自己的网站足够安全。这个检测至少提供了一些有效参考信息。）
由于 Let’s Encrypt 提供的免费证书只有3个月有效期，每次到期前需要 renew。certbot 支持自动 renew。
关于 renew 的 config ，你能在
/etc/letsencrypt/renew/ 路径下找到。用下面这个命令测试自己的 renew 设置是否有效：
sudo certbot renew --dry-run
一点清扫工作
现在你应该能通过前缀
https:// 的网址来访问自己的网站了。再回头试一下 http:// 访问，看会不会自动跳转到
https:// 。（如果没有，就要检查网站的重定向设置了）
不过，你也许会遇到，其他的 https 网站在浏览器里都有一把小绿锁显示，为什么我的网站
只有小灰锁呢？
在浏览器的小锁（或灰色叹号）上点击，可以看到它对网站潜在隐患的提示。 对于个人博客来说，
问题通常出现在站内的图片和链接上。它们的地址可能不是 https 的，没有被 SSL/TLS 保护，所以会被中间人截获。
参考
这篇及
这篇文章，可以编辑当前 WordPress 主题下的
function.php 文件，强制将站内图片的地址转换为 https ：
在
function.php 文件的尾部添加以下代码（修改其中两处
YOUR_DOMAIN 为你自己的域名）
/* 替换图片链接为 https */
function my_content_manipulator($content){
if( is_ssl() ){
$content = str_replace('http://www.YOUR_DOMAIN.com/wp-content/uploads', 'https://www.YOUR_DOMAIN.com/wp-content/uploads', $content);
}
return $content;
}
add_filter('the_content', 'my_content_manipulator');
若还有错，参照
这篇文章，利用浏览器的功能来排查错误。
找到错误原因后：如果是通向站外的链接，直接把它们改成 https 就行了（现在几乎所有正经网站都支持https了）。
如果是 WordPress 插件的问题，找找插件设置里能否修改相关地址。插件不支持的话，就看你愿不愿意忍痛寻找替代品了。
Leave a Reply