CDN与SSL证书协同配置实战：加密加速两不误
去年一个客户，网站升级HTTPS后，用户投诉页面变慢了。他问：“不是说HTTPS更安全吗，为什么慢了？”我看了他的配置，发现他把HTTPS的所有工作都交给了源站服务器——TLS握手、加密解密、证书验证，全在源站扛。源站CPU直接飙到80%。
这是HTTPS加速最常见的误区：HTTPS慢，不是协议的问题，是部署方式的问题。
01 为什么需要协同配置？
HTTPS比HTTP慢，主要是两个原因：TLS握手和加密计算。用户访问HTTPS网站时，浏览器和服务器要先完成2-3个RTT的加密协商，然后每个数据包都要加密解密。
如果把这些工作全部交给源站，CPU会成为瓶颈，网站响应变慢。而CDN与SSL证书的协同配置，可以解决这个矛盾。
协同配置的核心思想：将SSL证书托管到CDN平台，让CDN节点处理TLS握手和加密解密，源站只负责业务逻辑。这样一来，安全由CDN保障，源站专注于速度。
02 协同配置的三个要点
要点一：SSL卸载
SSL卸载（SSL Offloading）是协同配置的核心机制。用户到CDN走HTTPS加密通道，CDN节点完成TLS握手后，将请求以HTTP协议转发给源站。源站无需处理TLS握手和加解密计算，CPU负载大幅下降。
开启HTTPS加速后，平均响应时间可优化30%-50%。那家客户的源站CPU从80%降到30%，用户访问速度反而比原来还快。
如果业务合规要求全程加密，也可以启用“HTTPS回源”，但会消耗源站部分计算资源。
要点二：证书托管
证书托管是协同配置的另一个关键环节。CDN平台提供统一的证书管理入口，上传SSL证书后自动部署到所有边缘节点。证书到期前，平台自动提醒续期，部分云厂商支持自动续期和自动部署。
证书到期不续，用户访问时浏览器会弹出“证书已过期”的红色警告，业务直接停。证书托管让续期不再是噩梦。
要点三：证书与域名匹配
SSL证书必须和用户实际访问的加速域名匹配。www.example.com只能用www.example.com的证书，不能用*.example.com的泛域名证书。泛域名证书（*.example.com）可以覆盖www.example.com、api.example.com等所有一级子域名。
03 证书类型选择
DV证书（域名验证）：适合个人博客、小型网站，验证速度快
OV证书（组织验证）：适合企业官网，浏览器地址栏显示企业名称，提升用户信任度
EV证书（扩展验证）：适合金融、电商等高安全场景，地址栏显示企业名称和绿色标识
写在最后
那位客户后来把SSL证书托管到CDN，开启了SSL卸载。他说：“以前怕HTTPS慢，现在知道，慢的不是HTTPS，是没把重活交给CDN。”
HTTPS加速的核心理念：重活交给CDN，源站只做擅长的事。
