HTTPS配置后CSS JS加载失败：路径与协议_HTTPS_SSL证书_
运维圈子里讨论HTTPS，说法五花八门。有人说改这里，有人说改那里，新手看完更懵了。这篇文章只讲经过验证的标准做法，每一步都有明确的操作对象和预期结果。
Let's Encrypt免费证书用的人多，申请失败的情况也常见。域名解析不对、80端口不通、验证文件访问不到、申请频率超限，这些原因占了失败案例的大部分。
标准操作流程如下，建议按顺序执行。
Let's Encrypt申请失败先看报错信息。too many requests是申请频率超限，同一域名每周限5次，等一周再试或者换域名。connection refused是80端口不通，检查防火墙和安全组。invalid response是验证文件访问不到，检查网站根目录和.well-known目录权限。
DNS验证方式适合80端口不通的情况。certbot certonly --preferred-challenges dns -d 域名.com，会给出一个TXT记录值，到域名解析后台添加TXT记录，等解析生效后回车确认。通配符证书必须用DNS验证，还可以用DNS API自动续期。
自动续期配置。certbot renew --dry-run测试续期是否正常。加定时任务crontab -e，0 3 * * * certbot renew --quiet，每天凌晨3点检查续期。证书到期前30天会自动续。续期后要重载Nginx，--deploy-hook 'systemctl reload nginx'。
证书检测用在线工具。SSL Labs Server Test能全面检测证书配置、协议支持、加密套件，给出A到F评级。中文的有myssl.com，检测速度快还能看证书链。检测出的问题按建议修复，比如禁用弱加密套件、开启HSTS、配置OCSP装订。
做的过程中注意以下事项。
更新前看更新日志和兼容性。CMS大版本升级可能不兼容旧模板和插件，PHP升级可能导致旧代码报错，系统更新可能影响服务配置。先在测试环境验证，备份后再升级生产环境，升级完全面测试功能。
监控告警要配置到位。服务器资源（CPU、内存、磁盘、网络）、服务状态（Nginx、PHP、MySQL）、网站可用性（HTTP状态码、响应时间）、安全异常（登录失败、文件变更），这些都要监控，异常时通过短信或邮件通知。
密码用强密码并定期更换。12位以上大小写字母加数字加符号，不同系统用不同密码。不要用admin、123456、域名当密码，弱密码是被暴力破解的主要原因。密码管理器生成和存储随机密码。
生产环境操作选低谷期。凌晨或者早上用户少，改配置导致短暂不可用影响小。改完全面测试，首页、列表页、内容页、后台、上传功能、表单提交都点一遍，确认没问题再结束。
处理过程中有人问得比较多的问题，整理在下面。
问：备份频率怎么定？答：根据更新频率定。每天更新内容的站点每天备份数据库，每周备份全量文件。更新少的站点每周备份数据库，每月全量备份。备份保留最近7到14份，至少有一份异地存储（云存储或者其他服务器）。
问：服务器配置怎么选？答：根据网站流量和程序类型选。小型企业站1核2G够用，中型站点2核4G，大型或者高并发4核8G以上。数据库和应用放同一台服务器起步，流量大了再分离。带宽按同时在线人数估算，一般3M到5M起步。
技术问题最怕一知半解就动手改配置。这个功能涉及几个配置项联动，改一个不改另一个就会出问题。这篇文章把关联配置都列出来了，按顺序操作不会漏项。改完做一轮全面测试，确认没问题再收尾。
更新时间：2026-08-26 23:33:52
上一篇：禁用HTTP CONNECT方法防止代理滥用攻击的配置方法_网站安全运维实战指南