上一篇
http证书是什么？申请https证书需要多少钱
HTTPS 证书（通常指 SSL/TLS 证书）是保障互联网通信安全的核心组件，它通过加密数据传输、验证服务器身份以及确保数据完整性，防止高手窃听、改动或冒充，以下是对 HTTPS 证书的详细介绍，涵盖其工作原理、类型、获取流程及常见问题。
核心工作原理：非对称加密与对称加密的结合
HTTPS 证书的工作基础是公钥基础设施（PKI）,其核心机制结合了非对称加密和对称加密的优势：
- 握手阶段（非对称加密）：
- 客户端（浏览器）与服务器建立连接时,服务器会出示其数字证书。
- 证书中包含服务器的公钥。
- 客户端验证证书的有效性（是否由受信任的证书颁发机构 CA 签发、是否在有效期内等）。
- 验证通过后，客户端生成一个随机生成的“会话密钥”，并使用服务器的公钥对其进行加密,发送给服务器。
- 数据传输阶段（对称加密）：
- 服务器使用自己的私钥解密,获取会话密钥。
- 此后，双方使用这个共享的会话密钥进行对称加密通信。
- 对称加密速度快，适合大量数据传输；非对称加密用于安全地交换密钥。
HTTPS 证书的主要类型
根据验证等级的不同，HTTPS 证书主要分为三类,适用于不同的业务场景：
| 证书类型 | 全称 | 适用场景 | 浏览器显示标识 | |
|---|---|---|---|---|
| DV 证书 | Domain Validation | 仅验证域名所有权 | 个人博客、小型网站、测试环境 | 绿色锁标 |
| OV 证书 | Organization Validation | 验证域名所有权 + 企业真实身份 | 企业官网、电商平台、B2B 网站 | 绿色锁标 + 点击可查看企业信息 |
| EV 证书 | Extended Validation | 严格验证企业法律实体、物理地址等 | 银行、金融机构、大型支付平台 | 绿色地址栏 + 企业名称（部分浏览器已简化显示） |
注：随着浏览器安全策略的调整，EV 证书在地址栏显示企业名称的功能在 Chrome 和 Firefox 中已逐渐弱化，但其在后台验证强度上依然最高。
获取与部署 HTTPS 证书的完整流程
生成证书签名请求（CSR）
在服务器或本地计算机上生成一对密钥（公钥和私钥），并创建 CSR 文件，CSR 中包含了域名信息和组织信息。
- 关键点：私钥必须严格保密,绝不能泄露。
选择证书颁发机构（CA）
选择受信任的 CA 机构（如 DigiCert, Sectigo, Let’s Encrypt, 阿里云, 西西安全等）。
- 免费方案：Let’s Encrypt 提供自动化的免费 DV 证书,适合大多数个人和中小企业。
- 付费方案：提供 OV/EV 证书,通常包含保险赔付和技术支持。
域名验证（DV）
- DNS 验证：在域名 DNS 解析中添加一条 TXT 记录。
- 文件验证：将 CA 提供的验证文件上传到网站根目录。
- 邮件验证：接收管理员邮箱（如 admin@yourdomain.com）的确认邮件。
签发与下载
CA 验证通过后，签发证书文件（通常为 .crt 或 .pem 格式）和中间证书链。
服务器配置
将证书和私钥上传至 Web 服务器（如 Nginx, Apache, IIS），并配置 SSL/TLS 协议。
- Nginx 配置示例： server { listen 443 ssl; server_name example.com; ssl_certificate /path/to/cert.pem; ssl_certificate_key /path/to/private.key; # 其他配置... }
证书过期与续期管理
HTTPS 证书具有有效期，通常为 90 天（Let’s Encrypt）或 1-2 年（付费证书），过期后,用户访问网站会收到安全警告。
- 自动续期：推荐使用 Certbot 等工具配合 Let’s Encrypt 实现自动续期。
- 手动续期：在证书到期前，重新生成 CSR 并向 CA 申请新证书,然后替换服务器上的旧证书。
常见安全最佳实践
- 强制 HTTPS 跳转：配置服务器将所有 HTTP 请求重定向到 HTTPS。
- 启用 HSTS：通过 Strict-Transport-Security 头告诉浏览器只通过 HTTPS 访问,防止降级攻破。
- 使用强加密套件：禁用 SSLv3、TLS 1.0、TLS 1.1 等过时协议，优先使用 TLS 1.2 和 TLS 1.3。
- 定期扫描：使用工具（如 SSL Labs）检查证书配置的安全性。
相关问题与解答
问题 1：为什么我的网站部署了 HTTPS 证书，但浏览器仍然显示“不安全”或混合内容警告？
解答：
这通常是因为网站中存在“混合内容”（Mixed Content），即使主页面通过 HTTPS 加载，如果页面中引用的资源（如图片、CSS、JavaScript、视频等）仍然使用 HTTP 协议加载,浏览器会阻止这些资源或标记为不安全。
- 解决方法：
- 打开浏览器开发者工具（F12），查看 Console 或 Network 面板，查找标记为“Mixed Content”的资源。
- 将所有资源链接的 http:// 改为 https://，或使用相对路径（如 //example.com/image.jpg）。
- 确保所有第三方脚本和样式表也通过 HTTPS 提供。
问题 2：Let’s Encrypt 免费证书和付费证书在安全性上有区别吗？
解答：
从技术加密强度上看，两者没有区别，它们都使用相同的 RSA 或 ECC 算法，提供相同级别的加密保护。
主要区别在于：
- 验证等级：Let’s Encrypt 只提供 DV 证书，仅验证域名所有权；付费证书可提供 OV 和 EV 证书，验证企业真实身份,有助于建立用户信任。
- 有效期：Let’s Encrypt 证书有效期为 90 天，需频繁续期（但可自动化）；付费证书通常有效期为 1-2 年。
- 支持与服务：付费证书通常包含技术支援、保修赔付以及更广泛的旧设备兼容性支持。
- 建议：对于大多数个人网站、博客和中小企业官网，Let’s Encrypt 完全足够；对于需要展示企业身份、涉及敏感交易或金融业务的网站，建议使用 OV 或 EV 付费证书。
