海外域名能用免费cdn加速 时的证书和HTTPS配置要点

使用免费CDN为海外域名加速时，证书与HTTPS配置的核心在于明确“谁终结TLS、哪端需要可信证书、如何做域名验证与自动续期、哪里配置证书链与SNI、为什么要启用现代TLS特性、怎么避免混合内容”。做好这几项，既能保证访问速度，又能维持安全与兼容。

哪个证书应部署在源站和CDN边缘，二者有何区别？

常见模式有两类：一是CDN在边缘终结TLS（即客户端与CDN之间HTTPS），源站可以使用自签或私有证书；二是边缘与源站均使用受信任的证书并启用端到端加密。选择时优先考虑安全：若CDN提供“严格模式”（Full strict），需在源站部署受信任证书（例如Let's Encrypt或由CA签发的证书）。使用CDN托管证书可以免去手动续期，但自管理证书便于合规或特殊密钥策略。

如何进行域名验证与自动续期，尤其是海外域名的挑战是什么？

证书颁发常用HTTP-01或DNS-01验证。对于使用代理或CNAME到CDN的情况，HTTP-01可能因请求被拦截/重定向而失败，推荐使用DNS-01（通过DNS提供商API自动写入TXT），或先在DNS上取消代理/代理绕过以完成HTTP-01。海外域名可能遇到DNS解析延迟，设置合理TTL并使用支持API的DNS服务可简化证书配置自动化与续期。

哪里需要配置SNI、证书链与私钥，上传证书时应注意什么？

若CDN允许自定义证书，通常在CDN控制台上传公钥、私钥和完整证书链（包含中间证书）。确保私钥与证书匹配、私钥使用RSA 2048位或更优的ECC密钥、证书链顺序正确（服务器证书在前，中间CA在后）。另外启用SNI可以让同一IP托管多个域名证书；检查CDN是否支持SNI并在域名配置中开启。

为什么要启用TLS1.3、HTTP/2与现代密码套件，如何配置兼顾兼容性与安全？

启用TLS1.3和HTTP/2能提高性能和连接效率，减少握手延迟并支持多路复用。配置时选择现代的密码套件（优先AEAD、支持ECDHE）并禁用已知不安全的套件（如RC4、3DES）。同时考虑兼容性，保留TLS1.2作为回退但禁用老旧版本（TLS1.0/1.1）。CDN通常提供预设的“现代/兼容”策略，生产环境建议选择“现代”并监测少数老客户端的访问情况。

怎么避免混合内容与强制HTTPS导致的问题，HSTS何时启用？

确保站内所有资源（图片、脚本、样式）使用HTTPS链接或相对协议，开启CDN的自动重写/替换功能可减轻工作量。在启用全站重定向到HTTPS前，先在测试环境验证无混合内容。关于HSTS，应谨慎：先在短期max-age模式测试，确认无问题再递增至较高值；绝不在未完全确认的情况下提交HSTS preload名单，以免难以撤回。

多少类型的证书（通配符、SAN、多域）适合海外站，何时使用？

若需要同时保护裸域与多个子域，通配符证书（例如*.example.com）便捷但不能包含裸域的跨子域差异；多域SAN证书适合多个不同主域或子域集合。通配符配合DNS-01校验常用于自动化续期。选择时考虑管理便捷性、续期复杂度与安全策略（通配符私钥泄露影响面较大）。

在哪里监控和测试证书与HTTPS配置是否生效，遇到故障如何排查？

常用工具包括在线SSL测试（如SSL Labs）、curl命令查看握手信息、浏览器开发者工具检测混合内容与证书链。排查流程：先确认DNS和CNAME指向是否正确，再查看CDN控制台证书状态，检查证书链和私钥是否匹配，确认TLS版本与ALPN协商结果。若是自动续期失败，检查DNS API权限与日志，或临时使用CDN托管证书避免中断。

来源：海外域名能用免费cdn加速 时的证书和HTTPS配置要点