CDN HTTPS加速与证书托管：让你的网站安全又快速

去年一个客户，网站升级HTTPS后，用户投诉页面变慢了。他问：“不是说HTTPS更安全吗，为什么慢了？”我看了他的配置，发现他把HTTPS的所有工作都交给了源站服务器——TLS握手、加密解密、证书验证，全在源站扛。源站CPU直接飙到80%。

这是HTTPS加速最常见的误区：HTTPS慢，不是协议的问题，是部署方式的问题。

01 HTTPS为什么慢？问题出在哪

HTTPS比HTTP慢，主要原因是多了TLS握手。用户访问一个HTTPS网站时，浏览器和服务器要先完成一系列加密协商，才能开始传输数据。这个过程需要2-3个RTT（往返时延）。在弱网环境下，这个延迟会被进一步放大。

另一个问题是加解密计算。HTTPS传输的每个数据包都需要加密和解密，源站服务器如果承担全部计算压力，CPU很快就会成为瓶颈。

核心矛盾：安全需要加密，加密需要计算，计算需要资源。资源有限，安全就影响速度。

02 SSL卸载：让CDN分担TLS握手

SSL卸载（SSL Offloading）是目前解决HTTPS性能问题的主流方案。

原理很简单：CDN节点充当TLS的中转站——用户到CDN走HTTPS，CDN到源站走HTTP。源站只需处理业务请求，加解密和握手由CDN节点完成。开启HTTPS加速后，平均响应时间可优化30%-50%。

简单说，让CDN来扛加密的“重活”，源站只负责业务逻辑。源站CPU从80%降到30%，用户访问速度反而比原来还快。

03 证书托管：让证书到期不再是噩梦

免费SSL证书通常有3个月有效期，付费证书通常1年。到期不续，用户访问时浏览器会弹出“证书已过期”的红色警告。没人敢继续访问，业务直接停。

证书托管的价值：把证书托管到CDN平台，由平台负责到期提醒和自动更新。用户访问时，CDN节点自动使用新证书，源站无需任何操作。

阿里云、腾讯云、华为云都支持将SSL证书托管到CDN控制台，到期前自动推送新证书。

04 证书类型与匹配规则

证书类型：DV（域名验证）适合个人博客；OV（组织验证）适合企业官网，浏览器地址栏会显示企业名称；EV（扩展验证）适合金融、政务等高安全场景。

匹配规则：证书必须和加速域名匹配。www.example.com只能用www.example.com的证书，不能用*.example.com的泛域名证书。泛域名证书（*.example.com）可以覆盖www.example.com、api.example.com等所有一级子域名。

05 OCSP Stapling：隐藏的加速配置

OCSP是浏览器查询证书是否被吊销的机制。每次HTTPS访问，浏览器都要向CA机构查询证书状态，产生额外延迟。

OCSP Stapling让CDN节点提前缓存证书状态，在TLS握手时直接“打包”发给浏览器，浏览器无需再去CA查询，减少30%-50%的证书验证时间，尤其适合移动端用户。

写在最后

那位客户后来把SSL证书托管到CDN，开启了SSL卸载。源站CPU降到30%，用户访问速度反而比原来还快。他说：“以前怕HTTPS慢，现在知道，慢的不是HTTPS，是没把重活交给CDN。”

HTTPS加速的核心理念：重活交给CDN，源站只做擅长的事。