网站启用 HTTPS 后的弊端（代价、坑点）
HTTPS 核心作用是加密传输、防劫持、提升信任，但不是零成本，下面分性能、运维、兼容性、业务、成本几个维度讲：
一、性能损耗（最直观）
- 握手耗时增加
HTTP 是明文，TCP 三次握手后直接传数据；HTTPS 需要额外 TLS 握手（证书交换、密钥协商）。- 老 TLS 1.2：握手延迟明显，弱网/移动端更明显；
- TLS1.3 大幅优化，但依然比纯 HTTP 多一点点开销。
> 现象：首次访问网站白屏时间变长。
- CPU 算力开销
服务端、客户端都要做非对称加密运算。高并发站点，服务器 CPU 占用会上涨，需要扩容。
> 静态小站点感受不明显；API、高流量、爬虫多的网站压力会突出。 - 无法使用缓存（部分旧缓存机制）
- CDN 缓存 HTTP 资源简单；HTTPS 需要 CDN 配置证书，回源也要处理加密。
- 部分局域网代理、缓存网关不能缓存 HTTPS 内容，全部流量穿透回源，消耗带宽。
优化手段：TLS1.3、会话复用、OCSP Stapling、HTTP/2 或 HTTP/3，能极大抵消性能损失。
二、证书相关成本与运维负担
- 证书管理成本
- 免费证书（Let’s Encrypt）：有效期短（90天），必须写脚本自动续期，忘记续期网站直接打不开，浏览器报红警告；
- 付费OV/EV证书：花钱购买，还要年检，过期同样中断访问。
- 证书故障排查麻烦
常见坑：证书域名不匹配、根证书信任链缺失、证书链不全、OCSP 服务不可用。HTTP 没有这类问题，HTTPS 证书问题直接阻断访问。 - 证书泄露风险
私钥一旦泄露，中间人依然可以伪造证书解密流量；私钥的安全保管是额外工作。
三、改造工作量：全站资源混合内容坑（高频踩坑）
网站从 HTTP 切 HTTPS，最常见问题：混合内容（Mixed Content）
- 页面是 HTTPS，但页面内图片、JS、CSS、iframe、接口是
http:// - 现代浏览器：主动阻止不安全http资源加载，页面样式错乱、JS失效、接口请求失败。
工作量：全站源码、数据库、静态资源、第三方插件、图片地址批量替换；很多老系统硬写死 http 域名，改起来工程量很大。
四、兼容性问题
- 老旧客户端不支持新TLS
老旧安卓4.4以下、IE8/IE9、老旧嵌入式爬虫、工业设备，不支持 TLS1.2/1.3，访问 HTTPS 直接失败。
> 内部管理系统、面向老旧设备的站点影响很大；面向普通互联网用户基本可以忽略。 - 部分内网工具、抓包调试变难
- HTTP 可以直接用 Fiddler/Wireshark 看明文请求；HTTPS 默认密文，抓包需要安装根证书、配置代理解密。
- 日志排查、接口调试、爬虫抓包难度上升。
五、搜索引擎、爬虫、监控相关
- 爬虫/监控改造
部分老监控脚本、爬虫默认只支持 HTTP，访问 HTTPS 需要开启 SSL 支持，处理证书校验。 - URL 迁移的 SEO 风险（操作不当才会出现）
必须做 301 把 http 全部跳转 https。如果没做好：- 出现两套 URL（http + https），内容重复，被搜索引擎判定重复内容；
- 跳转配置错误，流量丢失、收录波动。
> 属于迁移风险，不是 HTTPS 本身缺陷，但属于切换带来的弊端。
六、代理、内网、CDN、负载均衡的额外复杂度
- 反向代理（Nginx/Apache）、负载均衡、CDN 都要配置证书；
- 内网场景：有些内网监控、局域网设备，原本用 HTTP 简单访问，改成 HTTPS 后内网设备需要信任证书；
- 部分老旧 WAF、防火墙对 HTTPS 的解析能力弱，无法解析加密后的请求内容，只能看IP层。
七、其他小缺点
- 部分局域网劫持检测、运营商缓存业务失效（如果你本来依赖运营商缓存）；
- 证书吊销机制 OCSP 有单点风险，OCSP 服务器挂掉可能导致浏览器验证缓慢（OCSP Stapling 可以解决）；
- 不能简单通过嗅探流量抓取网站内容，对于做流量审计的企业内网是负面。
✅ 总结取舍
对外公开网站，HTTPS 收益远大于弊端，是必选项（浏览器标记不安全、Chrome 等强制要求）
弊端大多是一次性改造成本 + 持续运维成本 + 轻微性能开销，大部分可以通过技术手段抵消。
哪些场景需要慎重评估 HTTPS？
- 纯内网管理系统，全部是老旧嵌入式终端/老IE；
- 极低性能嵌入式设备上的微型web服务，CPU资源极其紧张；
- 纯局域网调试工具，没有任何外网访问需求。
如果你需要，我可以给一份 http迁移https的检查清单（Nginx配置、混合内容排查、301跳转、证书自动续期）。