nginx配置HTTPS有哪些注意事项

配置Nginx支持HTTPS，说起来步骤不算复杂，但里面有不少细节需要仔细拿捏。尤其是在安全性和性能之间找平衡，稍有不慎就容易踩坑。先说几个核心判断：证书选择、协议版本、密码套件，这三个是硬门槛；而HSTS、证书链、日志这些，决定了你的配置到底牢不牢靠。

逐个来看。

SSL证书：首先必须有一张有效证书。可以从受信任的CA购买，或者用Let’s Encrypt这种免费方案生成。如果Nginx后面绑了多个域名，证书里最好带上SNI支持，这样Nginx才能为每个域名分别配发正确的证书。

私钥保护：证书配发的私钥——这是最高机密。私钥文件绝对不能对外泄露，权限设置要严，一般只允许root用户读取。

协议版本：现在的标准是TLS 1.2或TLS 1.3。安全性也好，性能也罢，都明显优于老版本的SSL 3.0和TLS 1.0。直接把这些老协议禁掉就好，没必要留着。

密码套件：选强密码套件，弱的那类——比如SSL_RSA_WITH_RC4_128_SHA——全部禁用。

HSTS（HTTP Strict Transport Security）：启用它能强制浏览器始终通过HTTPS访问你的站点，可以怼掉不少中间人攻击。一句话：值得开。

证书链：如果证书是中间CA签发的，务必在Nginx配置里补全完整的证书链，包括中间证书。不要只贴服务器证书，否则某些旧版浏览器会报警。

重定向HTTP到HTTPS：常见做法是在监听80端口的server块里，做一次301跳转到HTTPS版本。看起来简单，但漏掉这就等于留着后门。

性能优化：OCSP Stapling能缩短SSL握手时间；如果协议版本支持（TLS 1.2或1.3），建议上HTTP/2——多路复用和头部压缩，体验提升非常明显。

安全头信息：Content-Security-Policy、X-Content-Type-Options、X-Frame-Options这些安全头，能有效堵住不少常见攻击面。配置简单，收益不小。

日志记录：配好日志，万一出了状况才有迹可循。不要等到出问题才想起没记日志。

定期更新：Nginx本身和SSL证书都要保持更新，安全漏洞和协议漏洞可不是闹着玩的。

备份配置文件：这条看似基础，但真有不少人忘记。每次改动前，先备份一份当前配置，万一改出问题，至少还能回退。

下面是一个基础HTTPS配置示例，可以根据实际情况调整参数。在应用任何改动前，记得先备份当前配置。

server {
    listen 443 ssl;
    server_name example.com www.example.com;

    ssl_certificate /etc/nginx/ssl/example.com.crt;
    ssl_certificate_key /etc/nginx/ssl/example.com.key;

    ssl_protocols TLSv1.2 TLSv1.3;
    ssl_ciphers 'ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:DHE-RSA-AES128-GCM-SHA256:DHE-RSA-AES256-GCM-SHA384';
    ssl_prefer_server_ciphers on;

    ssl_session_cache shared:SSL:10m;
    ssl_session_timeout 10m;

    ssl_stapling on;
    ssl_stapling_verify on;
    resolver 8.8.8.8 8.8.4.4 valid=300s;
    resolver_timeout 5s;

    add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;

    location / {
        root /var/www/html;
        index index.html index.htm;
    }

    # 其他配置...
}

server {
    listen 80;
    server_name example.com www.example.com;
    return 301 https://$host$request_uri;
}

最后说一句：HTTPS配置不是一次性工作。证书要续期，协议要更新，配置要不断打补丁。但一旦跑稳了，它给你的回报——无论是用户信任还是搜索排名——绝对是值得的。