记录一下那天晚上的排查过程。证书只为根域签了 SAN，www 解析仍然开着，蜘蛛抓 www 版时证书名称不匹配，GSC 里大量 URL 报 SSL 错误，收录量持续下降。
这类报错背后常见的原因有几处，逐个排除就行。证书签发时只填了根域，没加 www。还有一种是站点同时解析两个域名，没有统一 301。
不容易想到的是，内链和 sitemap 混用两种写法。
上来先看证书覆盖了哪些域名
openssl x509 -in cert.pem -noout -text | grep -A1 'Subject Alternative Name'测试 www 的握手结果
curl -sI https://www.example.com/ | head -3剩下的就是统一到一个域名并做 301
curl -sI https://example.com/ | grep -i location白天有业务在跑，能验证的部分都压到了晚上做。
当时还开着另一个排查窗口，两边日志对照着看才定位到。
同一份数据我导出了两份，一份留底，一份拿来试。
怎么算真的好了，看的是同一批现象。统一域名后 SSL 错误条目清零，www 的权重通过 301 合并到主域。
证书是域名清单，签之前把 www、m、CDN 回源域名一起列出来最省事。改动前把原配置备份一份，出问题能马上回滚，这比任何技巧都实用。