网站https怎么弄的

我家楼下的网站水果店老板老周，上个月突然问我：“小伙子，网站我这收钱码上的网站网址，前面那个小锁头怎么弄出来？网站客户老说怕扫码不安全。”

他说的网站就是HTTPS。这玩意儿说白了就干两件事：给数据加密，网站再给网站验明正身。网站加密防的网站是你连WiFi时有人偷看，验身防的网站是你点进假网站。没有它，网站你输入密码就像在菜市场大声喊出来；有了它，网站等于把话塞进保险箱再递过去。网站

那到底怎么弄？网站分三步走。

第一步，网站买证书或者搞免费的网站。证书就是那个“小锁头”的官方凭证。贵的几千一年，便宜的有免费的。Let's Encrypt这个机构就发免费证书，90天续一次。别嫌麻烦，很多服务器面板能自动续期，设好就不用管。老周那种小店，免费的就够用。

第二步，装证书。这步最像给手机装SIM卡。你得把证书文件传到服务器上，再改一下网站配置文件。具体改法看你用的啥服务器软件——Apache改一个文件，Nginx改另一个。懂点命令行的话五分钟搞定，完全不懂的话，买虚拟主机时很多服务商后台有“一键开启HTTPS”按钮，点一下就行。

第三步，改链接。把网站里所有http://开头的链接全换成https://。这步容易漏。你网页里可能藏着图片、CSS、JS文件，哪个没改，浏览器地址栏照样给你显示“不安全”。我见过一个做外贸的哥们，证书装好了，后台有个老图片链接没改，整个网站绿锁变灰锁，客户流失一大半。

装完以后，用浏览器无痕模式打开自己网站，点地址栏那个锁头图标，能看到“连接安全”几个字。再点开详细信息，会显示证书是发给谁的、谁签发的、有效期到哪天。如果显示“证书无效”或者“不安全”，八成是中间环节出了问题。

话说回来，老周那店最后弄好了没？弄好了。我帮他找了个免费证书，他儿子按着教程点了两下，第二天收款码页面就带锁了。他特意多买了两斤橘子送我，说客户扫码时眉头松开了。

对了，还有个小坑得提醒你。有些网站只把登录页设成HTTPS，其他页面还是HTTP。这没用。黑客专盯那些非加密页面，偷走你cookie照样能冒充你登录。要弄就全站都上HTTPS，别留死角。

现在浏览器对没上HTTPS的网站越来越不客气。Chrome直接标“不安全”，Firefox也跟进。用户可能不懂技术，但一看到“不安全”三个字，心里就咯噔一下。这年头，连骗子都知道做个假HTTPS网站来骗人，你正经营生反倒不上，说不过去。

整个流程走下来，最花时间的不是技术，是排查那些漏网的http链接。有个土办法：装个浏览器插件，专门检测页面里的非加密请求，它会告诉你哪个元素没走HTTPS。改完刷新，再检测，直到全绿为止。

最后说句大实话——HTTPS早就不该叫“高级功能”了，它现在是互联网的标配。就像店门口的灯箱，以前是加分项，现在没灯箱晚上压根没人进店。趁着免费证书还在，花半天时间弄上，比等用户被吓跑了再补救强太多。