有做商城的老板跟我说，付款页面先上线，证书回头再装。我说这个顺序不能反，客户就是在这一步最敏感。让客户在不安全的页面上输卡号，等于自己把信任往外推。他一坐下就问，支付页面安全值不值得做。我一般反问，不做这件事会损失什么。
支付页面没证书，风险在哪
支付页面上流过的信息最敏感：手机号、收货地址，另外还有支付凭证。没有加密，这些信息在传输过程中是可以被截获的。
风险不只在被截获，还在责任。真出了信息泄露，没有加密这一点，会成为你很难解释的一个硬伤。
还有一个连带影响是支付通道。正规的支付接口对回调地址有要求，未加密的地址可能配不上，或者被直接拒绝。
浏览器怎么拦住你的客户
没加密的支付页面，浏览器会在地址栏明确标出不安全。客户看到提示，多数会在付款前那一刻退出。
这个流失点特别可惜，因为客户已经走到收尾那一步了。选好商品、填好地址，就差付款。就因为这三个字，白跑一趟。
所以装证书这件事，对收钱的页面来说不是技术细节，是转化的一环。花的钱不多，丢的是已经到手的订单。
证书之外还要注意什么
装了证书不等于整站就安全了。做了证书，页面里如果还引用了 http 的图片或者脚本，浏览器一样会报混合内容。
我们一般会在装完证书之后做一遍扫描。把页面里所有还在用 http 的资源找出来，改成 https。这一步不做，锁头可能显示不全，甚至打叉。
还有一条是支付回调。回调地址必须也是 https，配置的时候别忘了同步改。这一条漏了，客户付了钱订单却不到账。
还有一个细节，证书装上之后，站内的所有页面都要跟着加密，别只给支付那一页装。客户是从首页走进来的，中间任何一页报警，信任就断了。
支付页面证书：最常被问到的几件事
支付页面用免费证书行不行
能用，但涉及收款的建议用带身份验证的付费证书，客户看到公司名会更放心。
装了证书为什么还有警告
多半是混合内容。页面里有 http 的图片、脚本或者接口，要一并改成 https 才干净。
回调地址要改吗
要。支付回调必须走 https，不改的话回调可能失败，出现付款不到账的情况。
常斌团队的共识就这么一句：收钱的页面，证书这道门装不上，后面的信任都是空的。
收钱之前先把门装好
我的建议是支付功能上线之前，把证书和混合内容一起处理干净。门装好了，客户才敢把钱递进来。
电商客户服务过 300 多家，从选品到复购都陪跑过。支付相关的站点这块，信服无限会把证书这一环排在上线前的必查项里。起步之前，告诉我你的站上有没有收款的入口。