当前位置：首页 > 行业动态 > 正文

https配置网站ssl证书

配置HTTPS需生成SSL证书私钥（如openssl），向CA机构申请证书并验证域名，将证书文件部署至服务器（如Nginx/Apache），配置强制HTTPS跳转

SSL证书配置全流程解析

SSL证书基础认知

  1. 核心作用

    • 加密传输：防止数据被中间人窃取或改动
    • 身份验证：证明网站真实身份，防止钓鱼网站
    • 地址栏锁定：HTTPS协议使浏览器地址栏显示安全锁

  2. 证书类型对比
    | 类型 | 适用场景 | 特点 |
    |———————|———————————–|———————————-|
    | DV SSL（域名验证） | 个人博客/小型网站 | 仅验证域名所有权，签发速度快 |
    | OV SSL（组织验证） | 企业官网/电商平台 | 验证企业身份，含组织信息 |
    | EV SSL（扩展验证） | 金融/政务类高安全需求网站 | 绿色地址栏，最高信任等级 |
    | 通配符证书 | 多子域名站点 | 单证书覆盖多个子域（如.example.com）|

证书获取途径

  1. 免费方案

    • Let’s Encrypt：支持90天自动续期，适合个人/测试环境
    • ZeroSSL：提供免费单域名/通配符证书，有效期1年

  2. 商业CA机构

    https配置网站ssl证书 第1张

    • GlobalSign、DigiCert：支持OV/EV证书，适合企业级应用
    • 阿里云/酷盾安全：国内厂商提供一站式申请与托管服务

证书申请实操（以Let’s Encrypt为例）

# 安装Certbot客户端（Ubuntu/Debian）
sudo apt install certbot -y
# 生成证书（nginx webroot模式）
sudo certbot certonly --webroot -w /var/www/html -d example.com -d www.example.com

服务器配置指南

  1. Nginx配置模板

    server {
    listen 443 ssl;
    server_name example.com;
    ssl_certificate /etc/letsencrypt/live/example.com/fullchain.pem;
    ssl_certificate_key /etc/letsencrypt/live/example.com/privkey.pem;
    # 强制HSTS策略（推荐）
    add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;
}

  2. Apache配置要点

    • 修改httpd.conf添加： 
      SSLEngine on
SSLCertificateFile /path/to/fullchain.pem
SSLCertificateKeyFile /path/to/privkey.pem
    • 启用mod_ssl模块：a2enmod ssl

  3. IIS服务器配置

    • 导入证书到个人存储
    • 绑定证书到443端口
    • 配置URL重写规则将HTTP自动跳转HTTPS

验证与调试

  1. 状态检查命令

    # 检查443端口监听状态
sudo netstat -tulpn | grep :443
# 查看证书详细信息
openssl x509 -in fullchain.pem -text -noout

  2. 浏览器验证标准

    • 地址栏显示安全锁图标
    • 点击锁图标查看证书详情（颁发者/有效期/域名匹配）
    • HTTP自动跳转HTTPS且无阻止提示

常见问题排障

  1. 证书信任问题

    • 原因：未包含中间证书链
    • 解决：使用cat fullchain.pem合并所有证书片段

  2. 警告

    • 表现：页面加载时出现”不安全资源”提示
    • 排查：检查CSS/JS外部链接是否为HTTP协议

关联问题解答区

Q1：SSL和TLS有什么区别？
A：SSL（Secure Sockets Layer）是旧版安全协议，TLS（Transport Layer Security）是其升级版本，现代浏览器已废弃SSL协议，实际使用的是TLS 1.2+，两者常被混用，但建议统一称为TLS。

Q2：证书过期前如何自动续期？
A：

  1. Let’s Encrypt自动续期： 
    sudo certbot renew --dry-run # 测试续期流程
sudo crontab -e # 添加以下定时任务（每周执行）
0 0   0 /usr/bin/certbot renew --quiet
  2. 商业证书自动更新：大多数CA提供邮件提醒服务，需手动重新申请，建议开启监控告警，在到期前3
0

相关文章