小公司要不要做HTTPS：证书选型、续期与混合内容排查

发布时间：2026-10-05 08:36 更新时间：2026-10-05 08:36 阅读量：0

最近两年，不少站长会发现一个变化：浏览器地址栏对HTTP站点的提示越来越不友好，部分安卓应用内打开HTTP链接时甚至直接拦截。对做官网获客的小公司来说，访客看到「不安全」三个字就关掉页面的概率并不低。所以问题已经不是「要不要做HTTPS」，而是「怎么做才不折腾、花多少、怎么验收」。这篇文章面向准备建站或改版的负责人，尽量不堆技术名词，把证书怎么选、续期怎么防坑、页面里的混合内容怎么查，一次讲清楚。

一、证书类型怎么选：免费与付费的边界在哪

HTTPS证书的作用，是让服务器和访客浏览器之间的数据传输加密，同时确认「这个网站确实是你的」。对小公司官网来说，常见的选择有三种。

第一种是免费证书，例如 Let's Encrypt 这类公益机构签发的DV证书。它的特点是免费、有效期短（目前主流为90天），需要靠工具自动续期。适合预算有限、只有单个主域名、没有支付或登录功能的展示型官网。缺点是有效期短，一旦自动续期没配好，到期当天网站就会弹出安全警告。

第二种是付费的DV证书，和免费证书的加密强度一致，区别主要在有效期更长（通常一年）、提供一定的人工支持，以及部分品牌对老旧设备的兼容性稍好。价格从每年几十元到几百元不等，具体以服务商官方报价为准。

第三种是OV或EV证书，签发前会核验企业营业执照等主体信息，证书详情里能看到公司名称。适合需要向客户展示主体可信度的场景，比如B2B制造、律所、金融相关行业。价格通常每年千元级别，申请周期也更长，需要准备营业执照、法人信息等材料。多数小公司官网用DV证书已经够用，不必为「看起来更高级」多花钱。

选证书时还要注意一个细节：确认证书覆盖的域名范围。只写 www 的证书，访问不带www的裸域名会报错；反过来也一样。建议申请时把主域名和 www 子域名一起包含，避免访客从不同入口进来时体验不一致。如果你正在规划整体方案，可以先看 建站方案 里的域名与服务器搭配思路。

二、自动续期与混合内容：两个最常见的翻车点

HTTPS出问题，多数不是出在安装那一步，而是出在「忘记续期」和「页面里还混着HTTP资源」这两件事上。

先说续期。免费证书90天到期，人工记日历很容易漏。推荐用服务商自带的自动续期功能，或者用 acme.sh 这类脚本配合计划任务。以acme.sh为例，安装后签发并设置自动续期的基本流程如下（具体参数以官方文档为准）：

# 安装 acme.sh
curl https://get.acme.sh | sh -s email=you@example.com

签发证书（以webroot方式为例，路径按实际环境替换）
~/.acme.sh/acme.sh --issue -d example.com -d www.example.com -w /var/www/html

安装证书到指定目录，并设置reloadcmd让Web服务重载
~/.acme.sh/acme.sh --install-cert -d example.com \
  --key-file /etc/nginx/ssl/example.key \
  --fullchain-file /etc/nginx/ssl/example.crt \
  --reloadcmd "nginx -s reload"

装好之后，建议用一个到期提醒工具或监控服务，在证书到期前15天发通知给自己，双保险。另外要注意：很多云服务商的控制台提供「一键续期」开关，开通后基本不用管，但前提是域名解析还在同一账号下，迁移域名时别忘了同步。

再说混合内容。简单理解就是：页面本身用HTTPS打开了，但里面的图片、样式表、脚本还在用HTTP地址加载。浏览器会认为页面「部分不安全」，地址栏的小锁可能变灰，部分浏览器还会拦截这些资源，导致图片不显示、样式错乱。排查方法不复杂，用浏览器开发者工具的Console面板，筛选出带「Mixed Content」字样的警告，逐条把资源地址从 http 改成 https 或相对路径即可。如果是第三方接口（比如地图、统计代码）只支持HTTP，就得联系对方或换服务。

还有一种情况：图片、CSS、JS都存在服务器本地，但数据库或模板里写死了 http 开头的地址。改版时可以直接在数据库里做一次批量替换，但要先备份，替换后逐页检查。相关页面结构调整可以结合 客户案例 看看同类企业怎么处理。

三、从零开启HTTPS的实操清单

如果你是负责人，不写代码，可以把下面这份清单交给技术同事或服务商，照着推进即可。

• 确认域名解析已生效，主域名和 www 都能正常访问，这是申请证书的前提。
• 确定证书类型：展示型官网选免费DV即可；需要展示企业主体信息再考虑OV。
• 申请时把 example.com 和 www.example.com 一起包含，避免单边报错。
• 安装证书后，把全站强制跳转到HTTPS，同时保留一条从HTTP到HTTPS的301规则。
• 配置自动续期，并设置到期前15天的提醒通知。
• 用浏览器开发者工具检查每类页面（首页、产品页、表单页）是否有混合内容警告。
• 检查表单提交、在线客服、统计代码在HTTPS下是否正常工作。
• 用第三方SSL检测工具跑一遍，看协议版本和加密套件是否合规。
• 把证书到期时间、续期方式、负责人写进运维文档，避免人员变动后失联。

成本方面，免费证书零费用，付费DV证书每年几十到几百元，OV证书通常千元级别，外加可能产生的服务商代维费用，具体以实际报价为准。对大多数小公司官网来说，一年花在HTTPS上的钱通常不是负担，真正需要投入的是配置和后续维护的注意力。

如果你还在犹豫要不要一并调整网站整体结构，不妨先梳理清楚域名、服务器和内容规划，再动手改证书配置，避免反复返工。HTTPS不是一次性任务，而是一项需要纳入日常运维的常规工作，选对类型、配好续期、查净混合内容，网站的可信度和稳定性都会上一个台阶。

把HTTPS纳入你的建站验收清单，比上线后再补救要省事得多。

准备做网站，先从哪一步开始？

如果你希望把上面的思路落到自己的行业与目标市场，可以先看 建站方案 了解一站式流程，再对照 客户案例 判断哪些做法适合自己的业务；也可以加微信 tsrz001 沟通需求，把页面结构、预算和排期先聊清楚再动手。

继续阅读