给WordPress网站配置https，说难不难，说简单也不简单。不少新手在操作时只改了一半就匆匆上线，结果浏览器地址栏迟迟不显示小锁，甚至弹出“不安全”的警告，反复折腾也找不到原因。这篇文章就把配置https的完整流程和常见坑点一次讲透，帮你少走弯路。
一、先搞懂基础概念：http和https到底差在哪
http是超文本传输协议，浏览器和服务器之间的数据是明文传输的，理论上中间环节都能看到内容，包括你的账号密码。而https在http的基础上加了一层SSL/TLS加密，数据在传输前先被加密，到达对方才解密，中间人即使截获了数据也无法直接读取。
https的另一个作用是身份验证。SSL证书由证书颁发机构（CA）签发，浏览器会验证证书是否有效、是否属于当前域名。验证通过才显示小锁，验证失败就会给出警告。这也是为什么自签名证书虽然也能加密，但浏览器会提示不受信任。
对WordPress站长来说，配置https还有实际收益：谷歌和百度等搜索引擎都明确表示https是排名因素之一，部分浏览器还会把纯http网站标记为“不安全”，影响访客信任度。
二、SSL证书怎么选：免费和付费的区别
SSL证书按验证方式大致分三类：DV证书（域名验证）、OV证书（组织验证）和EV证书（扩展验证）。个人博客和中小网站用DV证书完全够用，它能证明你对域名的控制权，浏览器也会正常显示小锁。
免费证书首选Let's Encrypt，申请简单，90天有效期，支持自动续期。国内主流云服务商如阿里云、腾讯云都提供免费的DV证书，一般一年有效期，到期前重新申请即可。付费证书的优势在于OV和EV级别的验证、更长的有效期以及赔付保障，企业官网或电商站可以考虑。
| 证书类型 | 适合场景 | 大致费用 |
|---|---|---|
| 免费DV证书 | 个人博客、小型网站 | 免费 |
| 付费DV/OV证书 | 企业官网、内容站 | 每年几百元起 |
| EV证书 | 金融、电商类网站 | 每年数千元 |
三、完整配置流程：从申请证书到WordPress设置
第一步是申请证书。以宝塔面板为例，在网站设置里找到SSL选项，选择Let's Encrypt，勾选域名后点击申请，几秒钟就能签发成功。如果是纯命令行环境，可以用certbot工具，执行命令后按提示完成域名验证即可。注意申请前确保域名解析已经生效，且80端口能正常访问，否则验证会失败。
第二步是开启强制https。证书签发后，在面板里打开“强制HTTPS”开关，或者手动在nginx配置中加入301重定向规则，把所有http请求跳转到https。这个开关很重要，否则http和https会同时可以访问，搜索引擎会当成两个站点。
第三步是修改WordPress设置。进入后台的“设置-常规”，把WordPress地址和站点地址都改成https开头的网址，保存后重新登录。然后需要处理旧内容里的http链接，包括文章里的图片地址、主题模板里写死的资源路径等。可以在主题的functions.php中临时加入一段代码强制替换，也可以使用数据库批量替换，或直接用Better Search Replace这类插件来处理，后者更安全省心。
四、常见问题排查：这几个坑最容易踩
1. 小锁不显示，提示“不安全”。多数原因是页面里还残留http资源，最常见的是图片、CSS或JS文件仍用http加载。按F12打开浏览器控制台就能看到具体哪个资源报错。解决办法是批量替换数据库中的旧链接，同时检查主题和插件中是否写死了http地址。
2. 后台无法访问，出现重定向循环。这通常是因为服务器端已开启https，但WordPress没有正确识别。可以在wp-config.php中加入强制SSL的判断，设置$_SERVER['HTTPS']='on'，然后再开启后台的强制登录加密选项。另外如果用了CDN或反向代理，重定向规则重复叠加也会导致循环，需要检查各层配置。
3. 开了https后图片全挂了。除了链接未替换，还可能是CDN节点没有部署证书。如果你的图片走了第三方CDN，CDN那边的域名也要单独配置SSL证书，否则资源加载会失败。混合内容被浏览器拦截时，控制台会给出明确提示，按提示逐个处理即可。
4. 证书到期忘了续。Let's Encrypt证书90天一换，建议在服务器上配置自动续期任务，宝塔面板默认支持自动续签。付费证书则要在到期前留意邮件提醒，预留几天缓冲时间，避免证书过期导致浏览器拦截整个网站。
五、配置完成后的收尾工作
全站https跑通后，建议登录百度搜索资源平台和谷歌Search Console，重新提交站点地图，让搜索引擎尽快重新抓取。如果之前的http页面已有收录，保持301重定向长期有效，权重会逐步传递到https版本。
另外可以检查一下HSTS设置。开启HSTS后浏览器会强制使用https访问你的站点，进一步提升安全性，但前提是确认证书续期机制稳定，否则证书一旦过期，访客短期内无法访问。对于刚上线的站点，建议先稳定运行一两个月再考虑开启。
整体来看，WordPress配置https的核心就三件事：签证书、开强制跳转、替换旧链接。把这三步做扎实，再按上面的排查思路处理异常，基本上一次就能配置成功，不用反复返工。
wordpress配置httpsSSL证书网站安全修改时间：2026-09-04 09:34:49