HTTPS 全站加密与免费证书实践

思路

通配符证书适合多子域场景。通过 DNS-01 挑战（腾讯云 DNSPod）签发，避免把 80 端口暴露给校验器。

部署要点

• Nginx：listen 443 ssl + 80 -> 443 301 跳转。
• 开启 TLS1.2/1.3 与 Strict-Transport-Security。
• acme.sh 写入 cron，每天检查续期，成功则 nginx -s reload。

常见坑

应用层若再设置一次 HSTS，会与 Nginx 重复；X-Forwarded-Proto 不转发会导致 SECURE_SSL_REDIRECT 死循环。