如果您不保护example.com并且用户访问该站点，则中间人攻击者可以操纵流量并使用户保持在线状态example.com，他可以在其中拦截所有流量。

您的版本example.com重定向到https://www.example.com/. 攻击者可以改变这种行为并向用户提供您网站的 HTTP 版本。

如果您example.com没有. 随着浏览器越来越多地将 HTTPS 作为默认协议，这将成为一个日益严重的问题。www.www.example.com

许多证书颁发机构允许您在一个证书请求中添加多个域名，因此您可以同时为example.com和www.example.com.

是的你应该。

在您的场景中，用户在浏览器的地址栏中键入您的域名。没有协议，没有www.，只是example.com。大多数浏览器会首先尝试连接到http://example.com. 现在攻击者有机会干扰这个请求和/或响应 - 防止发生任何重定向，或将用户重定向到错误的目的地，或任何其他不良行为。

简单地在基域上支持HTTPS 对此无济于事，因为浏览器仍将首先通过 HTTP 连接，并且攻击者控制从那时起发生的事情。（尽管它确实具有为那些在浏览器中键入内容的稀有用户提供更好体验的次要优势https://example.com）。

真正避免该问题的唯一方法是，当用户键入时example.com，浏览器会立即通过 HTTPS 连接，而无需等待重定向。这可以通过将您的域添加到HSTS 预加载列表中来实现（在大多数浏览器中） 。将域添加到预加载列表的要求意味着基本域必须通过 HTTPS 可用（您只能提交基本域以供包含，这将检查前两个要求；此外，指定的 HSTS 标头在第四个要求中仅对 HTTPS 有效）。

因此，您的问题的答案是肯定的 - 您应该保护基本域 - 但您还应该考虑满足其他要求并将域添加到预加载列表中。

如果您启用了RapidSSL、GeoTrust、Thawte的 SSL 证书，那么您无需担心您的域名example.com，因为它们可以保护 www 和非 www 版本的域名，例如example.com&www.example.com

但是是的，如果您需要将 www 域www.example.com作为首选域，那么您必须example.com使用 301 重定向重定向您的非 www 域。如果您仍然感到困惑，则本主题中给出的相同查询的解决方案适用于www 和非 www 的不同 ssl 证书。