数据加密传输需要覆盖浏览器到代理、代理到源站及后台接口。首页使用HTTPS，不代表整个数据链路都受保护。
标记传输路径
表单、文件上传、数据库连接和运维访问分别记录，识别明文环节。
统一证书验证
客户端验证证书与主机名，不能为消除错误长期关闭验证。
检查敏感数据
口令和个人信息不用URL参数传递，调试日志不记录完整内容。变更后从实际客户端测试。
传输保护覆盖后台接口
前端HTTPS之外，API、上传、数据库连接和内部调用按风险确认加密方式。
检查凭据不出现在URL、日志或错误信息里，证书校验不能为方便测试在正式环境长期关闭。
例如页面HTTPS正常，后端向外部接口传凭据仍用未保护连接，应检查完整数据路径。
相关阅读：网站HTTPS与安全响应头：证书、混合内容和续期。