上一篇
https必须用ssl证书吗？https申请ssl证书多少钱
是的，HTTPS 必须依赖 SSL/TLS 证书
HTTPS 是 HTTP 协议的安全版本，而 SSL（Secure Sockets Layer，安全套接层）或其继任者 TLS（Transport Layer Security，传输层安全）是实现这种安全性的核心技术基础。
如果没有 SSL/TLS 证书，服务器就无法与浏览器建立加密连接，也就无法提供 HTTPS 服务，部署 HTTPS 的前提是必须拥有并配置有效的 SSL/TLS 证书。
为什么 HTTPS 需要 SSL 证书？
SSL/TLS 证书在 HTTPS 通信中扮演着“数字身份证”和“加密钥匙生成器”的双重角色,其必要性主要体现在以下三个方面：
数据加密（机密性）
普通的 HTTP 协议以明文形式传输数据，任何中间人（如高手、ISP 运营商）都可以轻松截获并读取你的用户名、密码、信用卡号等敏感信息。
- SSL/TLS 的作用：在客户端（浏览器）和服务器之间建立一条加密通道，即使数据被截获，攻破者看到的也是乱码,无法解读。
身份验证（真实性）
互联网上存在大量的钓鱼网站,它们可能伪装成银行或知名电商平台。
- SSL/TLS 的作用：证书由受信任的证书颁发机构（CA）签发，证明该域名确实归属于申请该证书的组织或个人，浏览器通过验证证书，确保用户访问的是真正的官方网站,而非假冒站点。
数据完整性（防改动）
在传输过程中，数据可能会被恶意改动（例如修改转账金额）。
- SSL/TLS 的作用：通过消息认证码（MAC）等机制，确保数据在传输过程中没有被修改、删除或插入，如果数据在传输中发生任何变动,连接将会立即中断。
SSL 与 TLS 的关系澄清
虽然常被称为“SSL 证书”，但现代互联网实际上使用的是 TLS（Transport Layer Security） 协议，SSL 是 TLS 的前身，由于早期版本存在严重安全漏洞,目前已基本被淘汰。
| 特性 | SSL (Secure Sockets Layer) | TLS (Transport Layer Security) |
|---|---|---|
| 状态 | 已废弃，存在严重安全漏洞 | 当前标准，持续更新迭代 |
| 版本 | SSL 1.0, 2.0, 3.0 | TLS 1.0, 1.1, 1.2, 1.3 |
| 安全性 | 低，易受攻破（如 POODLE 攻破） | 高，支持现代加密算法 |
| 现状 | 绝大多数现代浏览器已禁用 SSL | 所有现代 HTTPS 连接均使用 TLS |
注意：尽管技术上使用的是 TLS，但行业内仍习惯将用于 HTTPS 的证书统称为“SSL 证书”,这是一种约定俗成的叫法。
如何获取和部署 SSL/TLS 证书？
获取证书主要有以下几种方式,适用于不同场景：
免费证书（适合个人博客、小型网站）
- Let’s Encrypt：目前最流行的免费证书颁发机构，支持自动化续期,兼容所有主流浏览器。
- Cloudflare SSL：如果网站使用 Cloudflare CDN，可自动获得免费的企业级 SSL 证书。
付费证书（适合企业、电商、金融网站）
- DV（域名验证）：仅验证域名所有权，价格较低,适合普通网站。
- OV（组织验证）：验证企业真实身份，证书中会显示公司信息,适合中型企业。
- EV（扩展验证）：最高级别验证，浏览器地址栏会显示绿色企业名称，适合银行、支付平台等高信任需求场景。
部署流程简述
- 生成 CSR：在服务器上生成证书签名请求（CSR）和私钥。
- 提交申请：将 CSR 提交给 CA 机构进行验证。
- 验证域名：通过 DNS 记录、文件上传或邮箱验证等方式证明域名所有权。
- 下载证书：验证通过后，下载证书文件（通常为 .crt 或 .pem 格式）。
- 安装配置：将证书和私钥安装到 Web 服务器（如 Nginx, Apache, IIS）并重启服务。
常见问题与解答
问题 1：我的网站已经部署了 HTTPS，为什么浏览器仍然显示“不安全”或红色警告？
解答：
这通常由以下几个原因导致：
- 证书过期：SSL 证书有有效期（通常为 90 天到 1 年）,过期后浏览器会拒绝信任。
- 域名不匹配：证书是为 www.example.com 签发的，但你访问的是 example.com 或 api.example.com，除非证书包含通配符（.example.com）或 SAN（主题备用名称）。
- （Mixed Content）：页面主体通过 HTTPS 加载，但其中包含的图片、脚本或样式表仍通过 HTTP 加载，现代浏览器会标记此类页面为“部分安全”或“不安全”。
- 自签名证书：如果你使用的是自己生成的证书而非 CA 签发的证书，浏览器无法验证其可信度,会直接警告。
- 证书链不完整：服务器未正确配置中间证书（Intermediate CA）,导致浏览器无法构建完整的信任链。
问题 2：HTTPS 会影响网站加载速度吗？
解答：
早期确实认为 HTTPS 会增加服务器负担并降低速度，但随着技术进步，这种影响已微乎其微,甚至通过优化可以提升体验：
- TLS 1.3 优化：新版 TLS 协议减少了握手次数,连接建立更快。
- HTTP/2 和 HTTP/3：这些现代协议通常要求 HTTPS 支持,它们能显著提升多资源加载效率。
- CDN 加速：使用 CDN 可以在边缘节点终止 SSL 连接,减轻源站压力。
- 浏览器预加载：现代浏览器会对 HTTPS 网站进行预连接和预加载，实际感知速度往往比 HTTP 更快。
HTTPS 带来的轻微加密开销（通常在毫秒级）远低于其带来的安全收益和 SEO 排名优势，Google 等搜索引擎已将 HTTPS 作为排名因素之一，因此部署 HTTPS 是提升网站性能和安全的必要举措。
