IIS7 HTTPS配置的主体配置，就是把SSL证书绑定到站点、设置HTTP强制跳转、调整SSL参数这三步走完，网站就能正常通过HTTPS协议访问。很多站长卡在证书导入或绑定环节，其实只要理清IIS管理器中「服务器证书」和「站点绑定」两个模块的关系，操作起来并不复杂，下面直接拆解完整流程，附带可验证的排查方法。
IIS7 HTTPS配置的必备前提条件
动手前先确认环境,避免配置到一半才发现缺东西。
- 服务器证书：从CA机构申请的证书，通常下载IIS版本得到
.pfx格式文件，这个格式包含私钥和公钥，导入时需要一个加密密码，若下载的是.crt加.key两个文件，需要用openssl工具合成.pfx。 - 443端口未被占用：在命令提示符执行
netstat -ano | findstr :443查看结果，如果端口被其他程序占用，先停掉对应进程。 - 域名解析：域名需已解析到服务器公网IP，并能通过HTTP正常访问站点。
证书绑定：IIS7 https配置的核心步骤
证书绑定是整个主体配置的入口,绑错了后面一切免谈。
导入服务器证书
打开IIS管理器,选中左侧「服务器名称」节点，双击中间的「服务器证书」图标，右侧操作栏点击「导入」，选择.pfx文件，输入证书密码，证书存储选「个人」。
导入成功后,证书列表里会出现一行记录，状态显示正常。
在站点上添加https绑定
展开左侧「网站」节点，右键目标站点选「编辑绑定」，点击「添加」，按下表填写：
- 类型：
https - IP地址：默认「全部未分配」
- 端口：
443 - 主机名：填你的域名（
www.example.com
- 需要服务器名称指示：勾选
- SSL证书：下拉选择刚导入的证书
保存后,站点绑定列表里会多一行https记录，此时用浏览器访问 https://你的域名，应当能看到锁标识，若提示证书错误，先检查证书是否匹配域名。
证书与域名不匹配的处理
如果访问时提示“安全证书来自其他网站”，说明证书绑定的域名和访问域名不一致，普遍做法是重新申请一张匹配当前域名的证书，或者把站点域名改成证书内置的域名，子域名场景下，需使用通配符证书（.example.com）才能覆盖所有二级子域。
URL重写：强制http跳转https
证书绑定完成后,用户仍可通过HTTP访问站点，这会导致搜索引擎把HTTP和HTTPS当成两个站点，因此必须把HTTP流量全部301重定向到HTTPS。
安装URL Rewrite模块
IIS默认不自带URL重写功能,需要安装微软官方的URL Rewrite扩展，下载安装包后，在服务器上双击安装，安装完成后重启IIS管理器，站点主页会多出「URL重写」图标。
配置跳转规则
选中站点,双击「URL重写」图标，点击「添加规则」，选择「空白规则」，按下表配置：
| 配置项 | 值 |
|---|---|
| 规则名称 | HTTP to HTTPS Redirect |
| 匹配URL | 模式 |
| 条件 | 输入 {HTTPS} 模式 ^OFF$ |
| 操作 | 类型「重定向」，URL https://{HTTP_HOST}/{R:1} |
| 重定向类型 | 永久301 |
保存规则后,访问 http://你的域名/任意路径
会自动跳转到对应的HTTPS地址，状态码为301。
验证跳转是否生效
用浏览器开发者工具或命令行工具检查响应状态码,执行 curl -I http://你的域名，输出结果中应包含 HTTP/1.1 301 Moved Permanently 和 Location: https://你的域名/ 两行关键信息。
SSL设置：控制协议版本与客户端证书
IIS的SSL设置模块管理TLS协议版本和客户端证书策略,这部分影响安全评级和兼容性。
禁用旧版TLS协议
IIS7默认支持SSL 3.0、TLS 1.0、TLS 1.1和TLS 1.2，但SSL 3.0和TLS 1.0存在已知漏洞，绝大多数机构已弃用，通过注册表可限制协议版本：
- 运行
regedit打开注册表编辑器。 - 定位到
HKEY_LOCAL_MACHINESYSTEMCurrentControlSetControlSecurityProvidersSCHANNELProtocols。 - 新建子项
TLS 1.0，在其下新建Server项，创建DWORD值Enabled设为0。 - 按同样方法处理
SSL 3.0，保留TLS 1.2开启状态。
修改后重启服务器或重启IIS服务（iisreset）使配置生效。
客户端证书设置
在站点「SSL设置」页面可调整客户端证书策略：
- 忽略：不验证客户端证书，适合公网普通网站。
- 接受：接受但不强制验证，适合部分接口场景。
- 要求：强制客户端出示证书，适用于高安全内部系统。
公网站点建议保持「忽略」，开启「要求」后普通访问者没有客户端证书，浏览器会报错，影响正常访问。
验证IIS7 https配置是否成功的三个步骤
配置完成后不要急着结束,按以下流程走一遍，确认无死角。
浏览器访问测试
使用无痕窗口访问 https://你的域名，检查地址栏锁标识、证书有效期、证书颁发机构信息，点击锁图标查看证书详情，确认域名匹配且证书链完整。
在线工具检测
用 myssl.com 或酷番云、简米云提供的SSL检测工具扫描域名，检查协议支持情况、证书信任链、加密套件强度，行业共识认为，检测结果达到A级评价才算合格。
排查
HTTPS页面中如果引用了HTTP协议的图片、CSS或JS资源，浏览器会拦截或警告，按F12打开开发者工具看Console面板，出现 Mixed Content 警告即存在此类问题，逐一将资源链接改为HTTPS或使用相对路径即可解决。
IIS7 https配置常见问题解答
网站通过https访问时提示证书无效怎么办？
检查三点：证书是否绑定到正确的站点和域名，证书是否在有效期内，访问域名是否与证书上的CN或SAN字段完全匹配，服务器时间不准确也会导致证书校验失败，同步系统时间后重试。
HTTP请求能正常打开，但访问HTTPS时显示连接被拒绝？
确认防火墙放行了443端口,Windows防火墙需在「高级设置」中添加入站规则，允许TCP端口443，如果使用了云服务器，还需要在云控制台的安全组中配置对应规则，另外检查站点绑定的IP地址，若绑定为具体IP但服务器IP已变更，连接同样会被拒绝。
IIS7配置https后网站访问速度变慢了，这是为什么？
启用HTTPS后存在TLS握手开销,对性能有轻微影响，但多数情况下不是配置问题，服务器CPU性能不足或启用了过重的加密算法时，响应时间会明显增加，开启HTTP/2协议、启用会话缓存可改善体验，且旧版TLS协议被禁用后，现代浏览器建立的连接效率更高。
首发原创文章，作者：王坚，如若转载，请注明出处：https://test.idctop.com/article/589428.html
