HTTPS批量改造站群实操方案：一个站改3分钟但30个站挨个搞差点把收录搞没了，批量部署和301重定向这两步同步到位才能平稳过渡

上个月一个做站群的朋友找我，说他30个站点全上了HTTPS，本来以为这波操作能提排名，结果百度索引量一周内掉了30%。查了半天才发现，30个站点里有7个没配301重定向，http和https两个版本同时在收录——百度看到的是两套一模一样的页面在互相打架。

HTTPS改造这件事，单个站点搞起来确实不复杂：申请证书、装到服务器、配个301跳转，三步走完3分钟搞定。但一到站群场景——几十个域名、不同服务器、不同Web环境——每一步都可能埋雷。今天把HTTPS改造的完整流程和站群场景下最容易出错的环节一次性讲清楚。

一、SSL证书选型：免费够用90%的场景，剩下的10%看两个指标

SSL证书市场上从免费到几万块一年都有，但对站群来说，选证书的核心逻辑就两条：能不能批量管理和能不能自动续签。

二、免费证书申请和部署：acme.sh一条命令解决，比Certbot更适合站群批量操作

Let's Encrypt官方推荐的工具是Certbot，但在站群场景下，acme.sh更好用。原因很简单：acme.sh支持DNS API验证，不需要在每台服务器上开80端口做HTTP验证，证书申请和服务器完全解耦。你可以在任何一台机器上统一申请所有证书，然后分发到各台服务器。

以阿里云DNS为例，安装和申请泛域名证书只需要三步：

# 第一步：安装 acme.shcurl https://get.acme.sh | sh# 第二步：配置DNS API密钥（以阿里云为例）export Ali_Key="你的AccessKey ID"export Ali_Secret="你的AccessKey Secret"# 第三步：申请泛域名证书acme.sh --issue --dns dns_ali -d example.com -d *.example.com

证书申请成功后，acme.sh 会自动把证书文件保存在 ~/.acme.sh/example.com/ 目录下。然后安装到Nginx：

acme.sh --install-cert -d example.com \--key-file       /etc/nginx/ssl/example.com.key \--fullchain-file /etc/nginx/ssl/example.com.cer \--reloadcmd     "nginx -s reload"

--reloadcmd 这个参数是关键：证书续签后自动重载Nginx，不需要人工介入。acme.sh 安装时自动添加了crontab任务，每天检查一次证书有效期，到期前30天自动续签。

# 批量申请证书domains=("site1.com" "site2.com" "site3.com")for d in "${domains[@]}"; doacme.sh --issue --dns dns_ali -d "$d" -d "*.$d"acme.sh --install-cert -d "$d" \--key-file "/etc/nginx/ssl/$d.key" \--fullchain-file "/etc/nginx/ssl/$d.cer" \--reloadcmd "nginx -s reload"done

三、Nginx HTTPS配置和301重定向：站点少手动写，站点多用模板批量生成

证书装好之后，Nginx的HTTPS配置主要改两个地方：server块监听443端口并指定证书路径，同时保留80端口的server块做301跳转。

标准的Nginx HTTPS + 301配置长这样：

# HTTP → HTTPS 301跳转server {listen 80;server_name example.com www.example.com;return 301 https://$host$request_uri;}# HTTPS主配置server {listen 443 ssl http2;server_name example.com www.example.com;ssl_certificate     /etc/nginx/ssl/example.com.cer;ssl_certificate_key /etc/nginx/ssl/example.com.key;# 推荐的安全配置ssl_protocols TLSv1.2 TLSv1.3;ssl_ciphers ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256;ssl_prefer_server_ciphers on;ssl_session_cache shared:SSL:10m;ssl_session_timeout 10m;# HSTS（调试阶段先不加，确认无误后再开启）# add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;root /var/www/example.com;index index.html index.php;location / {try_files $uri $uri/ /index.php?$args;}}

对于站群来说，30个站点的Nginx配置文件结构几乎一模一样，只有域名和证书路径不同。没必要一个个手写——用Shell脚本从域名列表批量生成配置文件：

#!/bin/bash# 从domains.txt读取域名列表，批量生成Nginx配置while read domain; docat > /etc/nginx/sites-available/$domain <

四、清理混合内容：证书装了、301配了，浏览器地址栏还是没绿锁，问题出在哪