配置 HTTPS 时，不能只确认浏览器地址栏出现锁形图标。访客到边缘节点、边缘节点到源站是两段独立连接，可能分别使用加密或明文传输。理解 HTTPS证书在内容分发网络上的部署方式，关键是逐段核对证书由谁提供、连接是否加密，以及源站证书是否经过验证。
先分清两段连接和两张证书
常见链路是：访客通过 HTTPS 连接 CDN 的边缘节点，边缘节点再向源站请求内容。边缘证书用于前一段，通常覆盖访客访问的主机名；源站证书用于后一段，供边缘节点连接源站时校验。两处可以使用不同证书，也可以因平台配置而采用不同的证书管理方式。
如果边缘到源站使用 HTTP，访客到边缘虽已加密，回源数据仍可能以明文传输。如果回源使用 HTTPS，还要确认边缘节点会验证源站证书的有效期、证书链和主机名。仅仅把源站端口改为 443，并不等于验证已经开启。
边缘配置与源站配置，各自解决什么问题
在边缘节点配置证书
将覆盖公开访问域名的 TLS证书部署到 CDN 后，边缘节点可与访客建立 HTTPS 连接。适用于希望由 CDN 统一处理外部 TLS、减少源站直接暴露，或由平台协助签发和续期证书的场景。需核对证书是否覆盖所有实际使用的主机名，例如根域名和带 www 的域名是否都在 SAN 列表中；不能仅凭其中一个域名可访问，就推断其他域名也已覆盖。
若自行上传证书，应通过可信渠道提交证书链及对应私钥，并限制私钥接触范围。私钥泄露后应尽快撤换证书；不要把私钥放入公开目录、工单截图或不受控的配置文件。
在源站配置证书
源站证书供回源连接使用。配置回源加密时，应确认源站实际提供完整证书链，证书未过期，且证书名称与 CDN 使用的回源主机名相符。部分平台支持专用的源站证书或自定义信任设置，客户端浏览器并不一定信任这类证书；应以 CDN 对源站证书的校验规则为准。
源站证书不能代替边缘证书：访客连接的是边缘节点，边缘证书必须覆盖访客访问的域名。反过来，边缘证书有效也不能证明回源链路已加密。涉及隐私数据或登录信息时，应优先采用回源 HTTPS，并开启严格的证书校验；平台具体选项名称可能不同。
部署前按顺序核对
- 列出域名与流向。记录访客使用的主机名、CDN 配置的回源主机名，以及每个域名是否经过边缘节点，避免把证书部署到错误的名称下。
- 确认两段协议。分别检查访客到边缘、边缘到源站使用 HTTPS 还是 HTTP。若要求全链路加密，两段都应采用 TLS；还需确认源站防火墙允许 CDN 所需的回源连接。
- 检查证书内容。查看有效期、主机名、签发链和私钥对应关系。证书链缺失可能导致部分客户端或回源校验失败；通配符证书通常只覆盖其规则范围内的一层子域名，不能想当然地覆盖更深层级。
- 核实名称传递。确认 CDN 回源时使用的 SNI 与源站证书名称匹配。若边缘以一个主机名连接、却要求源站提供另一个名称的证书，严格校验可能拒绝连接。
- 分阶段验证并观察。先在测试域名或低风险时段检查边缘证书，再检查源站回源状态和错误日志。用浏览器证书查看器确认对外证书；同时查看 CDN 控制台中的回源 TLS 状态或连接错误，不能只用浏览器测试代替回源验证。
常见故障如何定位
浏览器提示证书名称不匹配，先检查边缘证书覆盖的域名及访问时使用的主机名；证书不受信任或链不完整，检查中间证书是否正确部署。若边缘证书正常但页面出现回源失败，转查源站证书有效期、回源名称、SNI 和信任链。出现重定向循环时，再检查源站或应用是否误判原始请求协议，避免边缘与源站反复将请求改写为 HTTPS。
证书续期也要覆盖实际部署位置。自动续期不一定意味着新证书已同步至所有边缘节点或源站；应确认更新状态，并在续期后重新验证两段连接。部署HTTPS证书在内容分发网络上的部署方式时，把边缘和源站作为两个检查对象，才能避免只加密到边缘、回源仍未加密的遗漏。
常见问题
只在边缘配置证书可以吗？
可以建立访客到边缘的 HTTPS，但这不代表边缘到源站也加密。是否足够，取决于回源数据的安全要求；需要全链路保护时，源站也应支持 HTTPS 并通过证书校验。
边缘证书和源站证书必须相同吗？
不必相同。它们服务于不同连接，只需分别覆盖对应连接使用的主机名，并符合各自的信任与校验要求。
源站证书过期会影响访客吗？
若 CDN 对回源证书执行有效期校验，过期证书可能导致回源失败，即使访客看到的边缘证书仍有效。因此续期后应检查源站及 CDN 的回源状态。
