SSL/TLS
为主机名部署免费或自定义证书，设置加密模式、强制 HTTPS、HSTS 与安全响应头，以及签发 Origin CA 证书。
SSL/TLS 设置位于站点详情页的 SSL/TLS 标签页（/cdn/domains/<域名>/ssl）。CDN 的 HTTPS 涉及两段连接：
- 访客 ↔ 边缘：使用为每个主机名部署的 边缘证书（免费自动证书或您上传的证书）。
- 边缘 ↔ 源站：由 加密模式 和源站的 回源协议 决定是否加密、是否校验源站证书。
为主机名部署边缘证书
边缘证书管理 表格列出站点的所有主机名，以及每个主机名的 SSL 状态、颁发者和到期时间。点击 管理证书 打开证书配置窗口，有三种方式：
方式一：免费自动证书（Let's Encrypt）
- 确认该主机名的 DNS 已经指向 CDN（CNAME 或 NS 接入已生效）。验证通过 HTTP-01 方式进行，边缘节点需要能响应 Let's Encrypt 的验证请求。
- 在 自动证书 (Let's Encrypt) 标签中点击 HTTP-01 验证。
- 窗口会显示申请进度（等待处理 → 域名验证中 → 证书签发中），完成后状态变为 已签发。如果失败，会显示 证书申请失败 及原因。
自动证书有效期 90 天，到期前会自动续期并部署到边缘，无需手动操作。已有证书时按钮显示为 续费证书，可用于手动提前续期。
泛域名主机名（如 *.example.com）无法通过 HTTP-01 验证。请使用下面的「自定义证书」或「证书夹」部署通配符证书。
开启「强制 HTTPS」不会影响 HTTP-01 验证，边缘会优先应答验证请求。
方式二：上传自定义证书
- 切换到 自定义证书 标签。
- 在 证书 (PEM格式) 中粘贴证书（建议包含完整证书链，服务器证书在前，中间证书在后）。
- 在 私钥 (PEM格式) 中粘贴对应的私钥。
- 点击 上传证书。上传成功后状态显示为 自定义证书。
自定义证书不会自动续期，请在到期前重新上传。
方式三：从证书夹部署
如果您已在 Yeap Cloud SSL 证书服务中购买或保存了证书，可以在 证书夹 标签中直接选择。系统会列出与该主机名匹配的证书（包括可覆盖该主机名的通配符证书），点击部署即可。
加密模式（边缘到源站）
在 SSL/TLS 加密模式 卡片中选择模式，然后点击 保存：
| 模式 | 边缘到源站 | 适用场景 |
|---|---|---|
| 关闭 | HTTP 明文 | 源站只提供 HTTP |
| 灵活 | HTTP 明文 | 源站没有证书，但希望访客使用 HTTPS |
| 完全 | HTTPS，不校验源站证书 | 源站使用自签名证书或 Origin CA 证书 |
| 完全（严格） | HTTPS，校验源站证书 | 源站使用由公共受信 CA 签发、覆盖您域名的有效证书 |
- 上表适用于回源协议为 自动 的主机名。如果在 源站设置 中把回源协议明确设为 HTTP 或 HTTPS，则以回源协议为准；「完全（严格）」仅在 HTTPS 回源时校验证书。
- 访客到边缘的 HTTPS 只取决于主机名是否部署了边缘证书，与加密模式无关。
- 切换到「关闭」或「灵活」时会弹出确认，因为边缘到源站的流量将不再加密。
- 选择「完全（严格）」时，如果源站证书无效、过期或域名不匹配，回源会失败。
- HTTP/2 回源需要 HTTPS 回源，在「关闭」和「灵活」模式下会自动退回 HTTP/1.1。
「灵活」模式下，如果源站本身又把 HTTP 重定向到 HTTPS，会形成无限重定向。遇到这种情况请改用「完全」，或关闭源站的强制跳转。诊断 标签页可以检测这类问题。
强制 HTTPS
在 HTTPS 设置 卡片中打开 强制 HTTPS 后，所有通过 HTTP 访问的请求都会以 301 跳转到相同地址的 HTTPS 版本。该设置只影响访客访问方式，不影响回源协议。
开启前请确认站点的每个主机名都已部署有效的边缘证书，否则访客会看到证书错误。
HSTS 与安全响应头
HSTS 与安全响应头 卡片中的设置由边缘注入到返回给访客的响应中，修改后点击卡片右上角的 保存。
HSTS（HTTP 严格传输安全）
| 字段 | 说明 |
|---|---|
| 开关 | 启用后在 HTTPS 响应中添加 Strict-Transport-Security 头（HTTP 响应不会添加） |
| max-age (秒) | 浏览器强制使用 HTTPS 的时长，常用 31536000（1 年） |
| 包含子域 | 添加 includeSubDomains |
| Preload | 添加 preload，用于申请加入浏览器的 HSTS 预载名单 |
HSTS 一旦被浏览器记住，在 max-age 内将无法再通过 HTTP 访问该域名。建议先确认 HTTPS 工作正常，再用较小的 max-age（如 300 秒）试运行，然后逐步调大。
其他安全响应头
- X-Frame-Options：
SAMEORIGIN或DENY，防止点击劫持。 - Referrer-Policy：从列表中选择策略。
- X-Content-Type-Options: nosniff：禁止浏览器 MIME 嗅探。
- Content-Security-Policy (CSP)：填写完整的 CSP 策略，留空则不添加。
以上几项需要打开「安全响应头」开关才会生效。
CORS 与自定义响应头
- CORS（跨域资源共享）：配置允许来源（每行一个，
*表示任意来源）、允许方法、允许请求头、暴露响应头、是否允许携带凭证以及预检缓存时间。注意允许携带凭证时不能与来源*同时使用。 - 自定义响应头：set 覆盖同名头，add 追加（可重复），remove 删除指定头（例如
X-Powered-By）。
免费版和起步版站点的响应会统一带有 Server: YeapCDN/2.0，对 Server 头的自定义或删除会被忽略；专业版和企业版可以自定义或移除 Server 头。
Origin CA 证书
Origin CA 证书由平台签发，安装在您的源站服务器上，用于加密边缘到源站的连接。它只被 Yeap Cloud CDN 使用，不被浏览器信任，不能用作面向访客的证书。
签发步骤：
- 在 Origin CA 证书 卡片中点击 签发证书。
- 填写 域名 (SANs)（默认填入
example.com和*.example.com），选择 密钥类型（ECC P-256（推荐）、RSA 2048 或 RSA 4096）和 有效期（7 天至 15 年，默认 15 年）。 - 签发后立即复制并保存证书和私钥。私钥只显示这一次，关闭窗口后无法再次查看。
- 把证书和私钥配置到源站的 Web 服务器上。
- 将站点的加密模式设为 完全。
如需在源站校验证书链，可点击 下载 CA 根证书。证书列表支持查看、吊销和删除。
「完全（严格）」模式按公共受信 CA 校验源站证书。使用 Origin CA 证书的源站请选择「完全」模式。