使用 HTTPS 确保网站安全
保护您的网站和用户
Last updated
Was this helpful?
保护您的网站和用户
Last updated
Was this helpful?
HTTPS(超文本传输安全协议)是一种互联网通信协议,可确保在用户的计算机与网站之间所传递的数据的完整性和机密性。每当访问网站时,用户都希望自己的在线体验安全无虞且具有私密性。因此,我们建议您采用 HTTPS 来保护用户与您网站之间的连接(无论您网站上提供了什么内容)。
所有使用 HTTPS 发送的数据都可通过传输层安全协议 () 得到保护。该协议可提供三重关键保护:
加密 - 对所交换的数据进行加密,以使其免受窥探。这意味着在用户浏览网站期间,没有人能够“听到”其会话内容,也无法在多个网页上跟踪其活动或窃取其信息。
数据完整性 - 不管是有意还是无意,在数据传输期间数据都无法被修改或损坏,也不会被检测。
身份验证 - 证明用户可与目标网站通信,这有助于保护用户免遭并建立用户信任,进而带来其他商业效益。
在为网站启用 HTTPS 的过程中,您必须获得安全证书。证书由 (CA) 颁发,该机构会采取有关措施,确认您的网站地址是否确实属于您的组织,从而保护访问者免受中间人攻击。在设置证书时,您可以选择 2048 位密钥,来确保高级别的安全性。如果所持证书的密钥(1024 位)安全性较弱,请将其升级到 2048 位。选择网站证书时,请注意以下几点:
从提供技术支持的可靠 CA 处获取证书。
确定所需证书的类型:
适用于单个安全源的单个证书(例如:www.example.com
)。
适用于多个已知安全源的多网域证书(例如www.example.com、cdn.example.com、example.co.uk
)。
适用于具有多个动态子域名的安全源的通配型证书(例如:a.example.com、b.example.com
)。
使用服务器端 301 HTTP 重定向将用户和搜索引擎重定向至 HTTPS 网页或资源。
请勿通过 robots.txt 文件阻止抓取您的 HTTPS 网页。
请勿在您的 HTTPS 网页中包含 noindex
元标记。
要支持 HSTS,请使用支持 HSTS 的网络服务器并启用该功能。
虽然 HSTS 更安全,但它会增加回滚策略的复杂性。我们建议您按照以下方式启用 HSTS:
首先,滚动未启用 HSTS 的 HTTPS 页面。
开始发送 max-age 较短的 HSTS 标头。通过用户和其他客户端监控您的流量,并监控相关内容的效果,如广告。
逐步增加 HSTS 的 max-age。
考虑使用 HSTS 预加载
在使用 TLS 保护网站安全的整个过程中,请避免以下错误:
问题
措施
过期的证书
确保证书始终最新。
注册了错误网站名称的证书
检查您是否已获得可涵盖与您网站对应的所有主机名的证书。例如,如果您的证书仅涵盖 www.example.com,则仅使用 example.com(不带“www.”前缀)加载您的网站的访问者将会因证书名称不匹配错误而被禁止访问。
抓取问题
请勿使用robots.txt
屏蔽抓取HTTPS网站。
索引编制问题
尽可能允许通过搜索引擎将网页编入索引。避免使用 noindex
元标记。
旧版协议
旧版协议易受攻击;请务必使用最新版 TLS 库并实施最新版协议。
并非只含安全元素
在 HTTPS 网页上只嵌入 HTTPS 内容。
HTTP 和 HTTPS 上的内容不同
确保HTTP网站和HTTPS上的内容相同。
确认网站是否返回正确的HTTP状态代码。例如,200 OK
(页面可访问)或 404
/410
(页面不存在)。
在 Search Console 中添加新的 HTTPS 资源:Search Console 会分别处理 HTTP 和 HTTPS;数据不会在 Search Console 中的资源之间共享。
要详细了解如何在您的网站上实施 TLS,请参阅以下资源:
使用来测试 Googlebot 能否访问您的网页。
我们建议 HTTPS 网站支持 HSTS()。HSTS 不仅会告知浏览器自动请求 HTTPS 页面(即使用户在浏览器地址栏中输入的是 http
),还会告知 Google 在搜索结果中提供安全网址,从而最大限度地降低了向用户提供不安全内容的风险。
如果 HSTS 不会对您的用户和搜索引擎产生负面影响,您便可请求系统将您的网站添加到被大多数主要浏览器使用的 中(如果您愿意的话)。
如果您启用了 HSTS,则可选择支持 ,以进一步提高安全性并改善性能。要启用预加载,您必须。
缺少 (SNI) 支持
确保网络服务器支持SNI且您的受众通常使用支持的浏览器。所有都支持SNI,但如果您需要支持旧版浏览器,则需要一个专用的IP。
HTTPS上的错误
有关在网站上使用 HTTPS 网页的更多提示,请参阅 。
如果您将网站从 HTTP 迁移到 HTTPS,则 Google 只会将其视为。这可能会暂时影响您的部分流量。有关详情,请访问。
请参阅,以排查迁移问题。