Nginx配置HTTPS全指南：从证书申请到HTTP强制跳转

当用户在浏览器输入你的网址时，地址栏的“不安全”提示是否让你倍感压力？当数据传输在公网裸奔，你是否担心用户信息被窃听？HTTPS早已不是“锦上添花”，而是网站的安全刚需。本文将手把手教你用Nginx配置HTTPS，并实现HTTP自动跳转，让你的网站穿上“安全铠甲”。

为什么必须配置HTTPS？

在这个数据泄露频发的时代，HTTPS的价值远超“好看的小绿锁”：

SEO优势：Google等搜索引擎明确将HTTPS作为排名加分项，HTTP页面可能被降权；
数据安全：通过SSL/TLS加密传输，防止用户密码、支付信息等敏感数据被中间人攻击；
用户信任：超过68%的用户会因“不安全”提示放弃访问（Source: Statista）；
合规要求：金融、医疗等行业需符合GDPR、PCI DSS等标准，HTTPS是基础门槛。

准备工作：获取证书与环境检查

1. 免费SSL证书怎么来？

推荐使用Let's Encrypt+Certbot，全程自动化：

安装Certbot：Ubuntu/Debian执行 sudo apt install certbot python3-certbot-nginx；CentOS执行 sudo yum install certbot python3-certbot-nginx。
获取证书：执行 sudo certbot --nginx -d yourdomain.com（替换为你的域名），Certbot会自动识别Nginx配置并完成证书安装，还能续期证书（默认3个月）。
证书位置：Certbot生成的证书默认存放在 /etc/letsencrypt/live/yourdomain.com/，包含 fullchain.pem（完整证书链）和 privkey.pem（私钥）。

2. 检查Nginx HTTPS模块

确保Nginx已启用SSL模块：

nginx -V | grep --with-http_ssl_module

如果输出包含 --with-http_ssl_module，则已支持；若未安装，需重新编译Nginx或用包管理器安装 nginx-extras 版本。

核心配置：HTTPS与HTTP重定向

1. 配置HTTPS站点

打开Nginx站点配置文件（通常在 /etc/nginx/sites-available/ 或 /etc/nginx/conf.d/），添加如下配置：

server {
    listen 443 ssl;  # 监听HTTPS默认端口443
    server_name yourdomain.com www.yourdomain.com;  # 你的域名

    # SSL证书路径（Certbot自动生成）
    ssl_certificate /etc/letsencrypt/live/yourdomain.com/fullchain.pem;
    ssl_certificate_key /etc/letsencrypt/live/yourdomain.com/privkey.pem;

    # 安全配置（必开！）
    ssl_protocols TLSv1.2 TLSv1.3;  # 禁用TLSv1.0/1.1，优先TLSv1.3
    ssl_ciphers HIGH:!aNULL:!MD5:!RC4;  # 强加密套件，排除弱加密
    ssl_prefer_server_ciphers on;  # 优先使用服务器端加密套件
    ssl_session_cache shared:SSL:10m;  # 会话缓存，减少重复握手
    ssl_session_timeout 10m;  # 会话超时10分钟

    # 强制浏览器使用HTTPS（可选，提升安全性）
    add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;

    # 站点根目录与日志
    root /var/www/yourdomain.com;
    index index.html;
    access_log /var/log/nginx/yourdomain-access.log;
    error_log /var/log/nginx/yourdomain-error.log;

    # 其他站点配置（如location、反向代理等）
}

2. 配置HTTP自动跳转HTTPS

在同一文件中添加80端口的HTTP站点配置，实现301永久重定向：

server {
    listen 80;
    server_name yourdomain.com www.yourdomain.com;

    # 重定向到HTTPS（保留原路径和参数）
    return 301 https://$host$request_uri;
}

return 301 比 rewrite 更高效（无循环风险）；
$host 自动匹配域名，$request_uri 保留原访问路径（如 /blog 会跳转至 /blog）。

验证与优化

1. 检查配置与重启

执行 nginx -t 检查配置语法错误，无误后重启Nginx：

sudo systemctl restart nginx

2. 验证效果

访问 http://yourdomain.com，应自动跳转到 https://yourdomain.com；
用 SSL Labs测试工具检测证书有效性、加密套件强度，目标评级应为A+。

3. 常见问题速解

证书不生效：检查Nginx用户是否有权限读取证书文件（chmod 600 私钥文件）；
端口被占用：执行 sudo lsof -i :443 检查是否有其他服务占用443端口；
浏览器提示“不安全”：检查证书链是否完整（Certbot的 fullchain.pem 已包含中间证书，无需手动添加）。

安全加固小技巧

证书自动续期：设置 crontab 定时续期：0 0 1 * * /usr/bin/certbot renew --nginx；
禁用弱密码套件：在 ssl_ciphers 中排除 !aNULL:!eNULL，避免RC4等不安全算法；
配置HSTS：强制浏览器后续请求使用HTTPS（如前文配置），减少中间人攻击风险。

HTTPS配置看似复杂，实则按流程操作即可完成。当你的网站挂上小绿锁，不仅能提升用户安全感，更能在搜索引擎中抢占先机。现在就动手给你的站点“穿上安全外套”吧！

nginx https 转 https