HTTPS 证书和重定向排查指南：从证书错误到跳转循环

检查证书名称和有效期

浏览器会检查证书是否覆盖请求主机名、是否在有效期内，以及是否能连接到受信任的证书链。example.com 的证书不一定覆盖 www.example.com，除非该名称出现在证书 SAN 中。续期、中间证书和系统时间也可能导致错误。

SNI 让一个 HTTPS 地址服务多个主机名。客户端在 TLS 阶段发送请求主机名，服务器或代理必须选择匹配的证书和虚拟主机。直接用 IP 测试或 SNI 配置缺失，可能看到与浏览器不同的证书。

将裸域和 www 当作两个独立端点检查 DNS、证书、状态码、最终 URL 和内容。明确哪个是规范主机名，并配置一条清晰的永久跳转，不要让多组规则互相竞争。

301、308 通常表示永久移动，302、307 表示临时跳转。检查 Location 的协议、主机名、路径和查询参数。跳回 HTTP、跳到意外主机或路径不断变化，通常说明代理或应用配置有问题。

代理终止 HTTPS 而源站认为请求是 HTTP 时，规则可能把请求反复跳转。Forwarded 协议头、应用 URL 设置和重复 Web Server 规则都是常见原因。跳转链应尽量短，并逐跳测试。

如果 CDN 或反向代理终止 TLS，应同时确认面向用户的证书和连接源站的模式。代理以 HTTPS 连接只提供 HTTP 的源站，或源站证书不符合代理预期，都可能产生握手错误或 5xx。

网站诊断可以查看 HTTPS 状态、响应时间、最终 URL 和响应头，不要只依赖浏览器缓存。将结果与正常浏览器对比，并在清理相关缓存后复测。不要向公开诊断工具提交账号或私密 URL。

分别测试 HTTP/HTTPS、根域/www；检查证书和 SNI；记录每个状态码和 Location；确定规范主机名；删除冲突规则；验证代理到源站的 TLS；从多个网络复测。

使用 IIPP 实时工具，检查你正在处理的域名或 IP 地址。