如何为SSL证书无效的站点访问用户跳转展示友好提示页面？

核心问题1：是否可以在站点SSL证书无效时重定向到友好提示页？ #

不可直接实现。SSL/TLS握手的优先级远高于HTTP请求处理：当你的站点证书无效时，浏览器会在TLS握手阶段就终止连接，直接弹出原生安全警告，根本不会发送后续的HTTP请求，你的服务器也接收不到任何请求，自然无法返回3xx重定向指令。

你想要的跳转效果只有在TLS握手成功的前提下才能实现，Cloudflare的友好提示本质也不是重定向，而是在边缘层保障TLS握手成功后直接返回自定义页面内容。

核心问题2：Cloudflare的实现逻辑是什么？ #

Cloudflare的功能依托于它的边缘代理架构实现：

• 所有用户的访问请求优先连接Cloudflare的边缘节点，而非你的源站
• Cloudflare会为接入的域名默认提供多CA备份的通用SSL证书兜底：当你的域名专属证书申请失败（比如Let's Encrypt限流）、过期或失效时，Cloudflare会自动切换为通用备用证书完成TLS握手，此时浏览器不会触发原生安全警告
• 完成TLS握手后，Cloudflare会直接在HTTP层返回提前预设的SSL错误友好提示页面，不需要跳转即可展示给用户

符合需求的长期落地方案 #

要实现和Cloudflare一致的效果，核心是要在用户和源站之间增加一层可管控的边缘代理层，做好证书兜底：

• 提前准备多份不同CA签发、不同根链信任的证书作为备用，除Let's Encrypt外可同时准备ZeroSSL、BuyPass等免费CA的证书，或是付费DV证书，避免单CA限流、根链失效等不可控问题
• 在边缘代理层配置自动切换规则：当检测到主证书失效、源站证书异常时，自动启用备用证书完成TLS握手，之后直接返回你提前编写的友好提示页面即可，无需额外跳转
• 若无需自行维护边缘层，也可选择支持多CA备份证书、自定义错误页规则的CDN服务，直接在CDN后台配置SSL类错误的自定义返回页面即可。针对ISRG Root X1这类根证书信任问题，只要提前配置好不同根链的备用证书即可自动切换规避。

内容的提问来源于stack exchange，提问作者Zikri Kalib