2014 年 8 月 7 日，Google 宣布 HTTPS 作为排名信号。在发布时，谷歌将其描述为非常轻量级，影响不到 1% 的全局查询，并且比高质量内容更轻。这个历史数字并不是现代的预测。如今，HTTPS 最好被视为安全和 Web 平台基线；从 HTTP 迁移到 HTTPS 也是 URL 迁移，必须调整重定向、规范、内部链接、资产、站点地图和测量。
六个验证点的 HTTPS
HTTPS 使用 TLS 加密 HTTP 流量。 它有助于保护浏览器和响应服务器之间的机密性和完整性。
谷歌在 2014 年确认 HTTPS 作为排名信号。 发布公告称其非常轻量级，并表示内容质量更重要。
HTTP 和 HTTPS 是不同的 URL。 即使路径和内容保持相同，协议迁移也会更改 Google 和用户请求的每个地址。
永久重定向可以携带信号。 Google 表示 301 和其他永久重定向不会导致 PageRank 损失，但映射和实施仍然决定着此举是否被正确理解。
Google 通常更喜欢 HTTPS 规范。 无效的证书、不安全的依赖关系、HTTPS 到 HTTP 的重定向或 HTTP 规范可能会产生冲突的信号。
安全是首要原因。 HTTPS 并不证明公司是诚实的、停止每一次攻击或替换有用的内容、访问控制和维护。
2014年8月
从轻量级信号到网络基线
| 时期 | 记录开发 | 实际意义 |
|---|---|---|
| 2014 年 8 月 7 日 | Google 宣布 HTTPS 作为排名信号，并将初始信号描述为影响不到 1% 的全球查询。 | 该数字描述的是发射情况，而不是当前的重量或承诺的流量增益。 |
| 2014年起 | 浏览器和平台越来越需要安全上下文并阻止或升级不安全的子资源。 | HTTPS 成为基础设施和用户安全工作，而不仅仅是 SEO 实验。 |
| 当前的规范指导 | 除非存在重要的技术冲突，否则 Google 记录了 HTTPS 相对于同等 HTTP URL 的一般偏好。 | 重定向、规范、站点地图和内部链接都应指向同一安全 URL。 |
| 当前迁移指南 | Google 将 HTTP 到 HTTPS 视为随 URL 更改而发生的站点迁移，预计会出现暂时波动，并建议直接进行服务器端永久重定向。 | 证书安装只是受控 URL 转换中的一个步骤。 |
加密和迁移虽然相关，但工作不同
HTTPS 支持三个实用属性： 加密 使交通在运输过程中更难读取， 诚信 使运输途中的修改变得更加困难，并且 认证 让浏览器验证证书对于其到达的主机是否有效。安全边界仍然取决于浏览器、服务器、证书链和应用程序的正确行为。
协议更改会创建每个页面的旧版本和新版本： http://example.com/page/ 和 https://example.com/page/。当用户、爬虫和每个技术信号一致达到安全版本而没有链条、循环、阻塞资源或测量差距时，迁移就会成功。
混合内容违背了这一承诺。请求 HTTP 脚本、样式表、iframe、字体、图像或下载的 HTTPS 文档仍然会将部分体验暴露给不安全的传输。现代浏览器可能会升级某些资源类型并阻止其他资源类型；依赖浏览器修复并不是迁移策略。
HTTPS 也无法建立商业真相。诈骗页面可能拥有有效的证书，而合法网站可能会错误地配置 TLS。将传输安全、应用程序安全、身份、内容准确性和 SEO 视为相互连接但可单独测试的层。
HTTPS 迁移准备情况检查
在每个关键主机、模板、依赖项和测量路径都有所有者和测试之前，不要安排切换。
| 准备区 | 需要证据 | 发射拦截器 |
|---|---|---|
| 证书覆盖范围 | 有效的链、正确的主机名、过期监控和支持的 TLS 配置。 | 不匹配、证书过期或缺少所需的子域。 |
| 网址清单 | 可索引页面、重定向、文件、图像、PDF、API 和重要参数路由。 | 未知的 URL 类或没有 HTTP 到 HTTPS 的映射。 |
| 安全依赖 | HTTPS 支持脚本、样式、字体、iframe、媒体、下载、提要和第三方调用。 | 关键的仅 HTTP 资源或支付/表单依赖性。 |
| 信号对准 | HTTPS 重定向、自规范、hreflang、内部链接、结构化数据和 XML 站点地图。 | 新页面指向 HTTP 或根据首选公开两种协议。 |
| 抓取访问 | HTTPS 返回正确的状态，完全呈现并且不会被 robots 或 noindex 阻止。 | 分段保护、防火墙或意外的 noindex 仍然处于活动状态。 |
| 测量 | 已测试分析、GTM、同意、转化、Search Console、广告、通话跟踪和网络钩子。 | 在启动之前无法对收入或查询流进行核对。 |
| 运营 | 备份、回滚、DNS/CDN 访问、服务器日志、警报和指定启动所有者。 | 恢复路径或访问权限不依赖于无法联系的人员。 |
HTTPS 为技术 SEO 带来了什么变化
HTTPS 使协议成为规范治理的一部分。重定向、规范标签、内部链接、站点地图和 hreflang 可以相互加强；分歧迫使谷歌和浏览器解决相互冲突的指令。
迁移规划变得比 HTML 更广泛。图像、CSS、JavaScript、字体、PDF、提要、API、付款回调、电子邮件、广告 URL 和第三方嵌入可以保留旧的协议引用，或者在更严格的安全规则下失败。
Google 建议尽可能一次更改一项主要内容。将 HTTPS、域、CMS、重新设计和内容重组相结合，使故障更难以隔离和回滚。
监控必须涵盖过渡和安全。搜索控制台和日志证据显示爬行和索引；浏览器测试显示混合内容；分析和转换检查揭示安全站点是否仍然完成业务任务。
用信号对齐取代仅凭证书的思维
| 先前的假设 | 持久的教训 |
|---|---|
| 安装证书，迁移完成。 | 证书启用HTTPS；每个 URL、资源、信号和测量路径仍然需要迁移。 |
| HTTPS 产生巨大的排名提升。 | 谷歌将发射信号描述为轻量级；安全性和平台完整性是主要原因。 |
| 通过多个旧版本重定向 HTTP。 | 使用永久服务器端重定向将每个旧 URL 直接发送到其最终的 HTTPS 等效项。 |
| 保留 HTTP 规范，以便 Google 记住旧页面。 | 每个可索引的安全页面都应指向预期的 HTTPS 规范。 |
| 在站点地图中列出这两个协议。 | 仅列出首选的绝对 HTTPS 规范 URL。 |
| 浏览器自动升级修复了混合内容。 | 替换不安全的源引用并测试所有模板；阻止的活动内容可能会破坏页面。 |
| 在第一天启用 HSTS 预加载。 | 首先在每个所需的子域中稳定 HTTPS； HSTS 和预载故意难以逆转。 |
| 一起重新设计、重新平台和更改协议。 | 尽可能将重大变更分开，以便证据、所有权和回滚保持清晰。 |
| HTTP 到 HTTPS 需要更改地址。 | 谷歌表示，地址变更是针对域名或子域名的变更，而不是仅针对协议的移动。 |
六种迁移情况
一个小型静态商业网站
保持每个路径相同、安装有效证书、更新硬编码资产和元数据、应用直接 HTTP 到 HTTPS 重定向、重新生成站点地图并测试每个页面模板以及查询路径。
一个 WordPress 网站
仔细更新 WordPress 和站点地址，使用安全工具替换序列化和内容 URL，检查主题和插件，清除缓存，测试 REST 和 cron 行为，并避免跨插件、服务器和 CDN 重复重定向逻辑。
电子商务或潜在客户开发网站
测试结账、付款回调、登录、密码重置、表单、CRM、呼叫跟踪、同意和交易电子邮件。页面级爬网无法证明收入流仍然有效。
多语言网站
将自我规范和每个相互的 hreflang URL 更新为 HTTPS。即使可见导航看起来正确，剩下的一种 HTTP 替代方案也可能会创建不一致的语言集群。
CDN 或反向代理后面的站点
验证边缘和源端的证书覆盖范围，正确保留原始方案，防止重定向循环，保护源连接并测试缓存变化。 “灵活的”仅边缘加密可能会使另一个连接不受保护。
具有子域和 API 的网站
使用前清点管理员、媒体、API、旧版和第三方主机名 包含子域 或预加载。一项被遗忘的纯 HTTP 服务可能会在 HSTS 下变得无法访问。
分阶段的 HTTP 到 HTTPS 迁移工作流程
- 设定范围和所有权。 定义这是仅协议还是与主机、域、路径、CMS 或设计更改相结合。尽可能分开重大举措。
- 导出完整的基线。 保存可抓取的 URL、状态代码、规范、hreflang、站点地图、链接、热门登陆页面、转换、外部链接和服务器日志。
- 准备回滚和暂存。 备份内容、数据库和配置；测试安全模板和流程，无需让公共暂存 URL 可索引。
- 安装并验证 TLS。 涵盖每个必需的主机名，提供正确的链，监控过期并确认使用代理的边缘到源加密。
- 使安全站点完整。 将应用程序设置、数据库 URL、模板、资产、API、表单、下载和第三方依赖项更新为 HTTPS。
- 实施直接永久重定向。 使用服务器端 301 或 308 将每个 HTTP URL 发送到相同的最终 HTTPS 路径。删除循环并避免可避免的链。
- 对齐规范信号。 使用 HTTPS 自规范并更新内部链接、hreflang、分页引用、结构化数据、Open Graph、提要和备用 URL。
- 发布干净的 HTTPS 站点地图。 仅包含首选的绝对规范网址，在适当的情况下从 robots.txt 引用它，然后在 Search Console 中提交。
- 移除发射块。 确认 HTTPS 不受暂存身份验证、机器人规则、防火墙策略或意外的保护
无索引. - 从源头修复混合内容。 抓取渲染模板，搜索源和内容数据库以查找不安全的资源 URL，并在启用浏览器阻止的情况下进行测试。
- 验证测量和业务流程。 测试 GTM、分析、同意、转化、CRM、付款回调、登录、表单、呼叫跟踪和交易消息。
- 更新受控目的地。 将个人资料、广告、电子邮件模板、二维码、应用程序、重要外部链接和 API 客户端更改为最终的 HTTPS URL。
- 在可观察窗口期间启动。 让技术、内容和测量负责人可用，保留决策日志并避免不相关的发布。
- 监控每个 URL 类别。 检查服务器日志、重定向状态、404/5xx、Search Console 索引、选定的规范、站点地图、查询组以及新旧协议的转换。
- 仅在稳定后添加 HSTS。 保守地开始，理解
最大年龄,之前测试每个子域包含子域，并将预载视为一项深思熟虑的长期承诺。 - 保持重定向和续订的活力。 Google 建议重定向至少一年；保持更长的时间有助于旧的链接和用户。无限期地监控证书。
一起衡量安全性、索引和业务连续性
捕获启动前基线并注释确切的开关。暂时的搜索波动可能会发生，但安全或转换失败应被视为事件而不是正常的迁移噪音。
| 图层 | 监控什么 | 健康模式 |
|---|---|---|
| TLS 和可用性 | 证书有效性、支持的主机、正常运行时间、握手和 5xx。 | 所有必需的主机都提供有效的 HTTPS，不会出现间歇性故障。 |
| 重定向 | HTTP 状态、最终目的地、链、循环和不匹配的路径。 | 永久跳转到真正的 HTTPS 等效项。 |
| 指数转变 | 索引 HTTP/HTTPS 计数、选定的规范、URL 检查和站点地图处理。 | HTTPS 随 HTTP 下降而上升，不会出现意外的页面丢失。 |
| 安全渲染 | 混合内容警告、阻止的资源、JavaScript 错误、表单和下载。 | 模板的渲染和运行没有不安全的依赖关系。 |
| 搜索性能 | 按页面、查询、国家/地区和设备划分的点击次数、展示次数和位置。 | 临时过渡不会出现无法解释的班级级别损失。 |
| 业务连续性 | GTM 事件、表单、呼叫、交易、登录、CRM 和收入。 | 结果与基线和端到端测试一致。 |
十个需要消除的 HTTPS 神话
- HTTPS 并未被宣布为主要的排名提升。 谷歌称启动信号非常轻量级，并将内容质量置于其之上。
- 2014 年的“低于 1%”数字并非当前权重。 谷歌尚未发布简单的现代百分比供网站所有者进行建模。
- 有效的证书并不能证明运营商是值得信赖的。 它验证与主机的技术连接，而不是每个业务声明。
- HTTPS 无法阻止恶意软件、网络钓鱼或弱密码。 应用程序安全、更新、访问控制和监控仍然是必要的。
- HTTPS 本身不会合并重复项。 一致地使用重定向、规范、内部链接和站点地图。
- 没有固定的迁移时间。 URL 数量、抓取速度、服务器容量和实施质量都会影响过渡。
- 永久重定向本身不会损失 PageRank。 不良目标、链条、错误或缺失 URL 仍然可能会失去用户和搜索价值。
- 地址变更不适用于仅协议移动。 Google 保留针对域或子域更改的流程。
- Mixed-content auto-upgrading is not a clean bill of health. 一些资源被阻止，第三方行为发生变化，来源引用仍然错误。
- HSTS 不是初学者 SEO 切换。 不正确
包含子域或预加载决策可能会使所需的服务在修复之前无法访问。
HTTPS 迁移问题及解答
SSL 与 HTTPS 相同吗？
人们常说“SSL 证书”，但现代 HTTPS 使用的是 TLS。 HTTPS 是通过安全 TLS 连接承载的 HTTP。
HTTPS 会提高 Google 排名吗？
谷歌确认这是一个排名信号，但称 2014 年的发布非常轻量级。采用它是为了安全性和平台正确性，而不是作为流量承诺。
切换成HTTPS后流量会下降吗？
当 Google 重新抓取网址并重新编制索引时，可能会出现暂时的波动。持续或严重的下降需要对重定向、访问、规范、渲染、跟踪和其他同时发生的变化进行调查。
我应该使用 301 还是 308 重定向？
两者都是永久的服务器端重定向，并且可以将目标标记为规范。使用您的平台可靠支持的方法，在必要时保留请求行为并避免链。
规范的 URL 应该是什么？
启动后，每个可索引页面通常应自我规范化为其首选的最终 HTTPS URL。重定向、内部链接、hreflang 和站点地图应该一致。
站点地图应该包含 HTTP URL 吗？
否。仅在活动站点地图中发布首选的绝对 HTTPS 规范 URL。
我需要在 Search Console 中提交地址变更吗？
不适用于同一域上的 HTTP 到 HTTPS。谷歌表示，这是为了域或子域的更改。验证相关属性并提交 HTTPS 站点地图。
HTTP 重定向应保留多长时间？
Google 建议将网站移动重定向保留至少一年。无限期地保留协议重定向通常对于旧链接、书签和用户很有用。
我什么时候应该启用 HSTS？
HTTPS 在预期范围内可靠工作后。从考虑的最大年龄开始，在 includeSubDomains 之前测试子域并了解预加载很难逆转。
如何找到混合内容？
搜索 HTTP 资源引用的源和数据库，抓取渲染的页面，检查浏览器安全性和控制台报告，并测试代表性模板、表单、下载和嵌入。
免费的 TLS 证书足够好吗？
价格并不决定排名价值。从技术上讲，重要的是有效的可信颁发、正确的主机名覆盖、安全配置、可靠的续订以及组织所需的证书类型。
主要和官方参考资料
- 谷歌：HTTPS作为排名信号
- 谷歌：网站随着网址的变化而移动
- Google：重定向和 Google 搜索
- Google：规范化和 HTTPS 偏好
- Google：构建并提交站点地图
- MDN：混合内容
- MDN：严格传输安全
- web.dev：为什么 HTTPS 很重要
- Google 搜索的工作原理