上海网站优化公司
百度于2015年全面完成HTTPS改造，这一历程中积累了丰富的实践经验。然而，当前行业内关于HTTPS部署的技术文档多聚焦协议层本身，鲜少涉及大型网站在HTTPS迁移过程中面临的非协议层挑战。本文基于百度运维团队的实战经验，系统阐述HTTPS全站部署的实践逻辑与策略权衡，旨在为同业者提供参考。
HTTPS作为保障传输安全的核心技术，其部署在大型互联网站点中仍面临诸多实践难题。现有技术文献多局限于协议原理讲解，而针对海量用户、复杂业务场景下的HTTPS落地经验分享较为匮乏。企业在推进HTTPS改造时，往往因缺乏系统指引而陷入“是否全站覆盖”“如何兼容第三方资源”“性能如何优化”等困惑。本文将通过梳理百度HTTPS改造的实践经验，揭示协议层之外的关键工作，以期抛砖引玉，推动行业技术交流。
##### 2.1 全站HTTPS覆盖的必要性
部分初学者认为，仅将主域名升级HTTPS即可满足安全需求，实则不然。HTTPS的核心价值在于构建端到端的安全传输通道，若主域名采用HTTPS，但其加载的JS、CSS、图片等资源仍通过HTTP传输，将导致安全防护形同虚设。此类资源易遭受中间人劫持或篡改，一旦用户设备被植入恶意脚本，HTTPS的加密意义将荡然无存。
浏览器为应对此类问题，设计了严格的安全提示机制：当页面加载混合资源时，地址栏的锁形标志可能由绿色变为黄色，部分浏览器（如IE）甚至会弹出安全警告，严重影响用户体验。部分用户为消除警告而选择“允许加载”，实则进一步暴露了安全隐患。值得注意的是，移动端浏览器对混合资源的限制相对宽松，但这并不意味着可忽视HTTP资源的安全风险。若全站资源未统一HTTPS，轻则导致功能异常，重则引发用户对平台安全性的信任危机。
##### 2.2 不同站点的HTTPS部署策略
HTTPS部署并非简单的“证书配置+Web服务器支持”，其复杂度与站点特性强相关。在大型网站的迁移工作中，协议层优化仅占整体工作的20%-40%，其余精力需投入资源适配、第三方协作、性能优化等环节。针对不同类型站点，HTTPS部署需采取差异化策略：
2.2.1 简单个人站点
此类站点资源仅从主域或其子域名加载，如axyzblog.com的博客仅调用自身域名的JS与图片。HTTPS部署相对便捷：在证书完备且Web服务器支持HTTPS的前提下，仅需将主域接入HTTPS，并将资源链接修改为https://或协议相对路径（//）。
2.2.2 复杂个人站点
若资源需从外部域名加载（如CDN、第三方库），HTTPS部署则面临额外挑战。CDN服务商的HTTPS支持能力参差不齐，部分厂商对HTTPS流量收取额外费用。当前主流CDNHTTPS方案包括：
- 网站主提供私钥，CDN回源采用HTTP；
- CDN使用公共域名及证书，资源域名不可自定义；
- 仅提供动态加速，CDN作为TCP代理不缓存内容；
- CloudFlare的Keyless SSL服务，避免私钥泄露风险。
2.2.3 简单大型站点
此类站点资源仅从主域、子域或自建CDN加载，极少依赖第三方资源，如Google、Twitter的范例。其优势在于HTTPS迁移改造成本较低；但缺点是需放弃部分第三方资源，对业务扩展性形成制约。
2.2.4 复杂且速度容忍度高的大型站点
多见于平台类、内容聚合型网站（如门户、视频、电商平台），需加载大量第三方资源。此类站点可推动全域名HTTPS升级：流量接入层同时支持HTTP与HTTPS，前端通过协议相对路径（//）实现资源自动适配。对于第三方资源，需迁移至自建CDN或强制要求对方支持HTTPS。Facebook的实践表明，若平台具备足够影响力，合作方愿意为适配HTTPS投入资源；反之，若接入方为个人开发者且商业价值有限，则需权衡强制HTTPS的可行性。此类方案的优点是前端改动简单、混合资源风险低，缺点是可能增加访问延迟（如2.5秒升至3秒），且对第三方要求较高。
2.2.5 复杂且速度要求严格的大型站点
此类站点用户停留时间短，对响应速度敏感（如工具类网站）。HTTPS部署需在安全与性能间寻求平衡，后续章节将深入探讨优化策略。
##### 2.3 域名策略的优化逻辑
域名数量对访问速度的影响具有双重性：域名过多会增加DNS解析与TCP连接建立时间；域名过少则降低资源下载并发度。在HTTPS场景下，TCP连接重建成本更高，需谨慎控制域名数量。以百度为例，其页面资源种类丰富，不同类型资源由多域名（子产品或第三方服务）提供，频繁切换域名会导致SSL握手延迟。通过限制域名范围、维持长连接，并结合SPDY/HTTP2.0的并发特性，可有效平衡性能与资源加载需求。
##### 2.4 连接复用的技术实践
连接复用可从TCP与SSL两个层面分析，其核心目标是减少握手延迟，提升资源加载效率。
2.4.1 连接复用的意义
HTTP协议（RFC2616）曾规定单域名最大并发连接数为2，但现代网页元素数量激增，此限制已不适用。当前浏览器普遍支持单域名6-8个并发连接（如表1所示）。在HTTP场景下，多域名并发可有效提升速度；但在HTTPS场景中，TLS握手成本较高，盲目增加域名数量反而加剧延迟。HTTP2.0的多路复用特性进一步要求优化域名策略，避免多连接对性能的稀释。
表1 浏览器单域名最大并发连接数
| 浏览器 | 最大并发连接数 |
|--------------|----------------|
| Chrome | 6 |
| Firefox | 6 |
| Safari | 8 |
2.4.2 预建连接技术
为减少用户感知的握手延迟，可通过预判用户行为提前建立连接。例如，在主域请求静态资源时预建TCP与TLS连接，后续请求直接复用。但实际效果受浏览器调度策略影响：若同一域名需加载大量资源（如10张图片），浏览器仍可能新建连接。
2.4.3 SPDY/HTTP2.0的赋能
SPDY协议通过支持单连接并发请求，显著提升连接复用率。HTTP2.0在此基础上进一步优化，其多路复用与头部压缩特性，使得多域名策略的必要性降低。
##### 2.5 优化效果的量化分析
根据百度实践，若未开启HSTS，用户直接访问HTTP主域再302跳转至HTTPS，平均延迟增加400ms以上，其中302跳转与SSL握手各占50%。但通过预建连接、HTTP2.0优化等技术，后续请求可实现几乎无感知的加载体验。目前团队仍在持续优化首屏加载速度，以进一步降低用户等待成本。
##### 3.1 Referrer传递的兼容方案
HTTPS站点向HTTP站点传递外链时，浏览器默认屏蔽Referrer信息。可通过meta标签实现可控传递：
```html
```
对于不支持meta标签的浏览器（如IE8），可采用二次跳转方案：先通过HTTPS跳转至可控HTTP站点，将Referrer信息嵌入URL参数，再跳转至目标地址。
##### 3.2 Form提交的安全兼容
若需向HTTP第三方站点提交表单，浏览器会弹出安全警告。可采用与Referrer传递类似的跳转逻辑，但需注意此类方案仍存在劫持与隐私泄露风险，根本解决需依赖浏览器升级与全站HTTPS普及。
##### 3.3 视频播放的协议适配
HTTP视频源会导致浏览器安全警告，需选择HTTPS视频源或切换至非HTTP协议（如RTMP）。
##### 3.4 用户异常的排查方向
迁移过程中，用户反馈的异常问题多源于环境因素：
- 系统时间错误导致证书过期；
- 代理工具（如Fiddler）未配置根证书；
- 跨网DNS解析被运营商拦截；
- 特定网络环境HTTPS失败率高；
- 基础网络连通性问题导致的整体延迟。
大型网站的HTTPS部署是一项系统工程，需超越协议层本身，统筹资源适配、性能优化、第三方协作等环节。尽管过程中面临全站覆盖难度、性能损耗、第三方兼容等挑战，但HTTPS上线后，劫持导致的用户功能异常与隐私泄露事件显著减少。技术团队的每一点优化，最终都转化为用户对平台安全性的信任。HTTPS并非“高不可攀”，关键在于以系统化思维解决实践问题。愿本文经验能为同业者提供借鉴，共同推动互联网安全生态的升级。
