“SSL 证书：怎么申请、安装、强制 HTTPS”
🔒 登录后可标记已读这篇笔记讲 SSL 证书是什么、为什么网站一定要有、怎么从主机商拿到证书（多数主机商现在免费自动提供）、以及装好证书后怎么让全站强制走 HTTPS。前置概念：Solid Security《站点检查、备份与实用工具设置》里提到的「强制使用 SSL」选项不会帮你生成证书，这篇笔记补上"证书从哪里来"这一步。适合网站还没上 HTTPS、或装了证书但网址栏还没显示锁头图标的站长。
重点内容
SSL 证书是什么，为什么要装
SSL（Secure Sockets Layer，现在技术上多半用的是继任协议 TLS，但业界习惯还是叫 SSL）证书让浏览器和服务器之间的数据传输加密，装好后网址从 http:// 变成 https://，网址栏出现锁头图标。
- 没有 SSL，访客在网站上输入的密码/信用卡信息等于裸奔传输，容易被中间人窃取
- 现代浏览器（Chrome/Firefox）对没有 HTTPS 的网站会直接显示"不安全"警告，吓跑访客
- Google 把 HTTPS 当作排名信号之一，同等内容下有 HTTPS 的网站 SEO 表现更好
怎么拿到 SSL 证书
多数现代主机商（含 Hostinger）现在默认自动提供免费 SSL（通常用 Let's Encrypt），Web/Cloud 等主流方案买了主机就自带，不需要额外操作。
如果发现网站还没有 SSL，或证书过期需要重新安装：
- 登入主机商后台（以 Hostinger 为例：hPanel → Websites → 选对应网站 → Security 分类）
- 找到 SSL 相关选项，点安装/重新安装
- 等待几分钟到几小时生效（证书签发和 DNS 验证需要时间）
📌 如果主机商不提供免费 SSL（少数便宜/旧型主机），可以自己去 Let's Encrypt 申请免费证书，或购买付费证书（Comodo、DigiCert 等），手动上传到主机后台。
强制全站走 HTTPS（Force HTTPS）
装好证书只是「网站可以用 HTTPS 访问」，不代表访客一定会用 HTTPS——还需要额外设置让 HTTP 请求自动跳转到 HTTPS。
方法一：主机商一键开关（最简单，如果有提供）
- Hostinger 为例：hPanel → Websites → 对应网站 → Security → Force HTTPS，点击开启，自动生效，不用碰代码
[截图：hPanel 网站 Security 分类页面，显示 SSL 证书状态与 Force HTTPS 开关]
方法二：WordPress 后台改网址
- 设置 → 常规
- 把「WordPress 地址（URL）」和「站点地址（URL）」两个字段的
http://都改成https:// - 保存
方法三：装插件（Really Simple SSL）
- Plugins → Add New Plugin → 搜索 "Really Simple SSL" → Install Now → Activate
- 插件会自动侦测证书状态，一键完成 HTTP → HTTPS 的强制跳转设置，不用手动改设置或代码
- 适合不想手动改 URL、也没有主机商一键开关选项的情况
📌 三种方法效果类似，优先用主机商内建的一键开关（最不容易出错）；主机商没提供的话，再考虑插件；手动改 WordPress 网址的方法适合能接受万一改错要自己修的进阶用户。
强制 HTTPS 后网站显示错乱怎么办（Mixed Content）
把网址改成 HTTPS 后，如果网站部分图片/样式加载不出来、页面看起来"坏掉"，通常是「混合内容」（Mixed Content）问题——页面本身走 HTTPS，但里面写死的图片/脚本链接还是 http:// 开头。
- 解法一：用 Really Simple SSL 这类插件通常内建 Mixed Content Fixer 功能，能自动重写页面里的资源链接
- 解法二：用数据库搜索替换工具（比如插件 Better Search Replace），把数据库里所有
http://你的域名批量替换成https://你的域名
常见误区
- ❌ 以为「强制使用 SSL」这类插件设置项会帮忙生成证书——这类开关只负责强制走加密连接，证书本身要先从主机商或 Let's Encrypt 那里拿到
- ❌ 装好证书就以为大功告成，没有另外设置 Force HTTPS——不强制跳转的话，访客用 http:// 网址进来时不会自动走加密连接
- ❌ 强制 HTTPS 后网站显示错乱就以为是证书装坏了——多半是 Mixed Content 问题，用插件重写资源链接或数据库批量替换就能修好
Sources
官方文档：
Blog / Website：