网站迁移过程中，HTTPS访问不中断是很多站长最担心的问题。迁移涉及服务器切换、DNS指向变化、证书重新部署等多个环节，任何一个环节的时序错误都可能导致访问者看到证书警告或无法连接。本文从实际操作角度出发，按证书、DNS、服务器三个层面逐层排查，帮助你规划一次无感知的迁移。
1. 迁移前：盘点现有HTTPS配置
在动手迁移之前，先明确当前HTTPS的依赖关系。你需要回答三个问题：
- 证书类型：是单域名、多域名还是通配符证书？证书绑定了哪些域名？
- 证书部署位置：证书是装在源服务器、CDN还是负载均衡器上？
- 证书有效期：剩余有效期是否足够覆盖迁移窗口？
这些信息决定了迁移时证书是否需要重新签发。根据RFC 9110，HTTPS URI scheme依赖TLS来保证通信安全，而证书是TLS握手的关键。如果证书绑定的是域名而非IP，那么只要域名不变，证书可以在新服务器上复用。但如果你更换了域名，就必须申请新证书。
2. 证书准备：提前部署到新服务器
在切换DNS之前，先把证书部署到新服务器。这样即使DNS提前生效，新服务器也能正常提供HTTPS服务。具体步骤：
- 导出旧证书和私钥（或从证书颁发机构重新下载）。
- 在新服务器上安装证书，并配置Web服务器（如Nginx、Apache）的TLS设置。
- 通过本地hosts文件或测试域名验证新服务器的HTTPS是否正常。
注意：如果使用自动续期工具（如certbot），请确保新服务器上的续期任务已配置，否则证书到期后HTTPS会中断。另外，如果旧证书绑定了旧IP，而新服务器IP不同，某些客户端可能因IP变化而报错，但现代浏览器主要验证域名，所以通常没问题。
3. DNS切换：控制生效时间
DNS切换是迁移中最容易出问题的环节。根据Cloudflare DNS文档，DNS记录用于将域名解析到IP地址，而DNSSEC等安全扩展会影响解析的可靠性。为了减少中断，建议：
- 将旧记录的TTL值在迁移前24-48小时调低（如300秒），这样DNS记录更新后能快速全球生效。
- 在切换时，先添加新记录，等待其生效，再删除旧记录。或者使用加权轮询，逐步将流量导向新服务器。
- 如果使用CDN，可以保持CDN节点不变，只修改源站IP，这样用户侧DNS不变，中断风险更低。
常见误区：直接删除旧记录、添加新记录，导致部分用户解析到新IP，而新服务器尚未准备好，造成HTTPS连接失败。因此，务必先确保新服务器完全就绪，再改DNS。
4. 服务器配置：确保TLS一致
新服务器的TLS配置必须与旧服务器兼容，否则即使证书有效，某些客户端也可能握手失败。检查以下几点：
- 协议版本：启用TLS 1.2和1.3，禁用过时的SSLv3和TLS 1.0。
- 证书链：确保新服务器提供了完整的证书链（包括中间证书），否则部分浏览器会报错。
- HSTS：如果旧服务器启用了HSTS（HTTP严格传输安全），浏览器会强制使用HTTPS，且会缓存一段时间。迁移后如果新服务器未正确配置HTTPS，用户将无法访问。因此，迁移期间最好暂时关闭HSTS或确保新服务器HTTPS完全正常。
失败条件：如果新服务器TLS配置不当，即使证书有效，也可能出现“ERR_SSL_PROTOCOL_ERROR”等错误。建议使用在线SSL检测工具验证新服务器的HTTPS状态。
5. 测试与验证
在DNS切换后，持续监控HTTPS状态。你可以：
- 使用不同网络（如移动数据、不同ISP）访问网站，检查证书是否有效。
- 查看服务器日志，确认是否有大量TLS握手失败。
- 使用在线工具（如SSL Labs）评估新服务器的HTTPS配置。
如果发现异常，立即回滚DNS记录，将流量切回旧服务器，直到问题解决。
6. 常见误区与注意事项
- 误区一：证书与IP绑定：多数证书与域名绑定，与IP无关，但有些老旧证书可能绑定IP，迁移后需要重新签发。
- 误区二：忽略CDN的证书：如果使用CDN，需要在CDN控制台上上传新证书或使用CDN提供的证书，否则用户访问的是CDN节点，证书不匹配会报错。
- 误区三：迁移后忘记更新内部链接：网站内部如果有硬编码的http://链接，会导致混合内容警告。建议迁移后全局搜索并替换为https://。
7. 总结与参考资料
保持HTTPS不中断的关键是：提前准备好证书、控制DNS切换节奏、确保新服务器TLS配置正确。每一步都要测试，并准备好回滚方案。如果涉及数据库迁移，可参考数据库迁移指南；若需更换服务器，可参考虚拟主机迁移到云服务器。
参考资料
延伸阅读