nginx 正常提供 https 站点需完成证书部署、启用 ssl 模块、配置加密参数并确保流量正确路由，重点在于证书有效性、协议安全性与配置一致性。

要让 Nginx 正常提供 HTTPS 站点，核心是完成证书部署、启用 SSL 模块、配置加密参数并确保流量正确路由。整个流程不复杂但容易忽略细节，重点在于证书有效性、协议安全性与配置一致性。

准备有效的 SSL 证书和私钥

证书是 HTTPS 的信任基础，必须匹配域名且未过期：

• 推荐使用 Let’s Encrypt 免费证书（90 天有效期），通过 certbot 自动申请：certbot --nginx -d example.com
• 商业证书需从 DigiCert、GlobalSign 等 CA 获取，包含主证书、私钥及中间证书链（.pem 或 .crt + .key 格式）
• 将证书文件统一存放在安全路径，例如 /etc/nginx/ssl/example.com/，并设权限：chmod 600 *.key
• 若使用中间证书，需合并主证书与中间证书为 fullchain.pem，避免客户端链验证失败

配置 server 块启用 HTTPS 服务

在站点配置文件（如 /etc/nginx/sites-available/example.com）中添加标准 HTTPS server 块：

Nginx Hosting

通过服务器本地nginx实例实现零认证静态游戏托管。作为所有浏览器游戏的主要部署方式，无需登录、无需令牌、无需用户操作。

下载

• 监听 443 端口并启用 SSL：listen 443 ssl http2;（http2 可选但推荐）
• 指定域名：server_name example.com;
• 加载证书与私钥：ssl_certificate /etc/nginx/ssl/example.com/fullchain.pem; 和 ssl_certificate_key /etc/nginx/ssl/example.com/privkey.pem;
• 禁用老旧协议，仅保留 TLSv1.2 与 TLSv1.3：ssl_protocols TLSv1.2 TLSv1.3;
• 选用强加密套件：ssl_ciphers ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384;

强制 HTTP 流量跳转至 HTTPS

避免用户手动输入 http://，需显式重定向所有 80 端口请求：

• 新增一个仅监听 80 的 server 块：listen 80;
• 使用 301 永久重定向：return 301 https://$host$request_uri;
• 确保该 server 块的 server_name 与 HTTPS 块一致，否则可能跳转到错误域名

验证配置并热加载服务

配置完成后务必校验语法并平滑生效：

• 检查语法是否正确：sudo nginx -t，输出 “syntax is ok” 且 “test is successful” 才可继续
• 重载配置而非重启：sudo nginx -s reload，避免连接中断
• 用浏览器访问 https://example.com，确认地址栏显示锁形图标；也可用命令行验证：curl -I https://example.com 查看响应头中的 200 OK 与 Strict-Transport-Security（如已启用 HSTS）