如何让所有子域名自动升级HTTPS？

哎我说各位，你们有没有遇到过这种情况？公司刚上线了个新项目，运营小妹突然在群里@你：“用户说访问后台提示不安全，浏览器上挂着红色三角警告！”这时候你才想起来，又双叒叕忘记配置HTTPS跳转了！别慌，今天咱们就来解决这个世纪难题——怎么让*.yourdomain.com这种泛域名自动从http跳转https？

---

先看个真实案例：某电商平台有50多个子域名，每次上新都要单独配置SSL证书。运维小哥头发都薅秃了，直到用了泛域名证书+智能跳转，现在新增子域名都不用碰服务器了！

---

第一步：搞张万能钥匙——泛域名证书

这玩意儿就像小区门禁卡，一张卡能开所有单元门。市面上有免费的午餐吗？还真有！比如JoySSL家的90天免费泛域名证书，申请流程跟点外卖差不多：

1. 登录官网扫码注册
2. 选"永久免费版通配符证书"
3. 填主域名比如*.yourcompany.com
4. 去域名解析后台加个CNAME验证
5. 等2分钟就签发成功

重点来了：千万别选单域名证书！否则每加个子域名都得重新申请，累不死你算我输。

第二步：Nginx配置大法

拿到证书后怎么用？来看这段神配置：

server {
    listen 80;
    server_name *.yourcompany.com;
    return 301 https://$http_host$request_uri;
}

这行代码就像个交通警察，把所有http请求都引导到https车道。$http_host这个变量是关键，它能精准捕获用户输入的具体子域名，比如shop.yourcompany.com。

三大必坑指南

见过太多人在这栽跟头，直接上对比表：

灵魂拷问环节

Q：为啥我的跳转后显示证书错误？
A：十有八九是证书没覆盖子域名。用这个命令检查：
openssl x509 -in 证书.crt -text | grep DNS
如果显示DNS:*.yourcompany.com才算正确。

Q：测试环境怎么玩？
A：本地部署推荐用mkcert工具，3分钟生成自签名泛证书。具体步骤：
1. brew install mkcert
2. mkcert -install
3. mkcert "*.test.local"
这样所有test.local的子域名都能用同一张证书了。

小编私房话

干了八年运维，发现大家最常忽视这两点：
1. HSTS预加载：在响应头加个Strict-Transport-Security，能防SSL剥离攻击
2. 混合内容检测：页面里要是引用了http图片，小绿锁照样不显示。可以用Content-Security-Policy头来拦截

最后说句掏心窝的：现在连谷歌都把HTTPS作为排名因素了，早点上泛域名方案，既能省运维时间，又能提升用户体验。别等用户流失了才后悔，赶紧动手配置吧！