随着众多大型企业与社交媒体公司纷纷强调 SSL 加密的紧迫性，它已成为业界热议的话题。如今，无论是电商网站、银行机构还是个人博客，大多数企业都在将业务迁移至安全网络，希望为客户的访客带来安心。企业在安全上的细微疏忽，都可能给业务连续性带来巨大混乱。

作为开源的内容管理系统（CMS），WordPress 也已宣布让其数以百万计的网站通过 HTTPS 获得安全保护。在本文中，我们将了解如何在托管于 WordPress 的网站上使用 SSL 并启用 HTTPS。在深入之前，先了解一下 SSL 证书及其必要性很有帮助。

WordPress 是否需要 SSL 证书

是的，WordPress 建议使用 SSL 证书来保障 Web 安全。用户会向网站提供个人详细信息以完成登录、购买或订阅。在这种情况下，数据会在用户电脑与网站之间以明文传输，可能被任何第三方或黑客截获。为避免这种情况，SSL（HTTPS）登场，它以强加密对传输中的信息进行编码，使任何人都无法嗅探数据。浏览网站时，若发现 URL 以 HTTPS 而非 HTTP 开头，则该网站已部署 SSL 证书，可安全进行在线交易。

为何将 WordPress 从 HTTP 迁移至 HTTPS

SSL 能保护信息，是当今在线世界最重要的要求之一。此外，Google 也宣布，启用 SSL 的网站更有可能在 Google 搜索中获得更高排名——这意味着网站既获得安全性，又有助于 SEO。即便你运营的是一个以内容为主的博客，也可能成为黑客攻击的受害者：假设你的博客拥有庞大且活跃的撰稿人与读者群体，那么博客上的任何可疑行为都可能篡改文章内容、重定向至未授权站点，或注入损害博客口碑的恶意软件。通过强制 HTTPS，你向 Web 用户保证信息在服务器与客户端之间安全传递，且无人能以任何方式拦截。

在哪里购买 SSL 证书

为你的 WordPress 站点获取 SSL 证书至关重要。你有两种购买途径：

- 直接向证书颁发机构（CA）购买；

- 通过授权经销商（authorized reseller）购买。

相较直接向 CA 购买，通过授权经销商获取 SSL 证书往往更具性价比，且所售证书与 CA 签发的证书完全一致。建议选择信誉良好的授权经销商，并就自身所需的保护范围与验证级别获取选型建议。

如何设置 WordPress 以使用 SSL

若你使用 WordPress 站点并希望在全站启用 HTTPS，只需在 WordPress 设置中做一处简单修改即可：进入 设置 >> 常规（General），将“WordPress 地址（URL）”与“站点地址（URL）”中的“http”改为“https”并保存。这将确保网页的所有内容都通过 HTTPS 提供。

无插件将 HTTP 重定向至 HTTPS（WordPress）

同时运行 HTTP 与 HTTPS 两种协议的网站可能存在隐患，Web 用户会看到警告信息。Always-On SSL 是理想选择，它能在整个站点上启用 HTTPS。要强制 WordPress 站点使用 HTTPS，你需要设置 301 重定向，使访客自动从 HTTP 跳转至 HTTPS 安全站点。你可通过 .htaccess 文件将流量从 HTTP 重定向至 HTTPS，只需添加以下代码，并将“yoursite.com”替换为你的实际域名：

# Force HTTPS
<IfModule mod_rewrite.c>
RewriteCond %{HTTPS} !on [OR]
RewriteCond %{HTTP_HOST} !^www\.
RewriteRule (.*) https://www.domainname.com%{REQUEST_URI} [L,R=301]
</IfModule>

在全站启用 HTTPS 后，建议使用“Why No Padlock”等工具来识别不安全元素，以避免混合内容（mixed content）警告。它有助于检测网页上的不安全元素，如图片、JavaScript 与 CSS。

迁移至 HTTPS 的重要提示

站点备份：建议在为 WordPress 站点应用 SSL 之前先进行备份，以防出现意外时丢失数据。

通过启用 SSL 的 CDN 提供静态内容：由于 CDN 是另一台服务器与 URL，也应启用 SSL。一旦为 CDN 配置好 SSL，所有静态内容都将通过启用 SSL 的 CDN 提供。

选择知名 Web 主机：建议选用知名服务商提供的托管服务，它们能帮助你发现并解决与服务器相关的错误。