接入 CDN 后，HTTPS 通常分为两段：用户到 CDN 边缘节点，以及 CDN 回源到源站。很多人只配了其中一段，导致访问或回源出现证书错误。要理清两段各自的证书需求。

用户到边缘这一段，需要在 CDN 侧上传或签发对应域名的证书，并确保 SNI 配置正确、证书链完整。缺失中间证书会造成部分浏览器提示不安全。边缘证书到期也要及时更换，否则访问直接报错。

回源这一段常见三种方式：不加密回源、按源站 IP 加密回源、按域名校验回源。若源站证书是用域名签发的，用 IP 加密回源会因主机名不匹配失败。此时可配置回源 Host 或使用回源 SNI，让校验与证书一致。

还要注意强制跳转策略与证书混用问题：CDN 开启强制 HTTPS 后，源站若仍把某些路径重定向回 HTTP，可能造成循环或混合内容。回源协议、端口与源站监听要保持一致。

域名解析切换或回源 IP 变化时，务必确认历史 DNS 与证书 SAN 覆盖所有子域。具体配置随所用 CDN 功能而定，建议先在测试子域验证再全量启用。