SSL证书申请全攻略：从零开始轻松获取免费与付费证书

52JinY 助手

最近帮朋友搭了个小网站，全程折腾下来对SSL证书这块有些心得，写出来给有需要的人参考一下。

先说最基础的问题——为什么要申请SSL证书。现在浏览器对没有HTTPS的网站越来越不友好，Chrome直接显示"不安全"，用户一看就跑了。更实际的是，搜索引擎对HTTPS站点有加权，同等条件下有证书的会排得更靠前。所以这件事该早做不该拖。

证书分几种，搞清楚再选，别花冤枉钱。DV（域名验证）证书是最普通的那种，只验证你是否拥有这个域名，不验证公司信息，个人博客、小工具站用这个就够了。OV（组织验证）要提交公司资料，审核周期长，适合有明确主体的企业网站。EV（扩展验证）是最高级别，以前会显示绿色地址栏，现在各大浏览器把这个视觉效果砍了，溢价就更难说值不值了。大多数场景，DV就够用。

免费证书首选Let's Encrypt，这几乎是行业共识了。它是非盈利机构运营的，证书有效期90天，需要定期续签，但可以配置自动续签脚本，续签这事基本不用手动操心。申请方式也简单，如果你的服务器能自己操作，直接装Certbot，几条命令搞定。如果用的是宝塔面板，里面有一键申请的入口，连命令行都不用碰。

走云厂商也是个路子。阿里云、腾讯云、华为云都有免费DV证书可以申请，每个域名通常限额一定数量，够个人用。好处是和云控制台集成，绑定CDN或者负载均衡的时候省事很多，坏处是每家免费额度有限，域名一多就得付费了。如果你的服务本来就在某个云上，顺手在那里申请挺方便的。

具体流程上有几个坑要注意。第一是DNS验证和文件验证的选择，Let's Encrypt支持两种方式，如果你的域名DNS托管在能自动配合的平台，用DNS验证更省心，不然文件验证也行，在网站根目录放一个指定文件就能过验证。第二是泛域名证书，如果你有二级域名需求，比如同时要保护abc.com和*.abc.com，申请泛域名证书，只有DNS验证这一种方式，需要在DNS里加一条TXT记录。第三是证书链的问题，申请下来之后要注意服务器配置时把完整证书链都配进去，不然有些老设备或者老浏览器会报错，Nginx配置的时候用fullchain.pem而不是单独的cert.pem。

续签的事情别掉以轻心。90天看起来不短，但时间一过真的容易忘，建议申请完就立刻配好cron定时任务，Let's Encrypt官方也说certbot renew这个命令可以每天跑，它会在到期前30天自动完成续签，不会每天都真的去申请新证书，放心让它跑就好。另外最好在监控里加一个证书过期告警，我见过太多人证书过期了还不知道，用户那边早就一片红了。

如果是生产环境的商业项目，我还是建议买付费证书，理由很简单：有SLA保障，出了问题有人管，有些行业甚至有合规要求。主流CA机构像DigiCert、Sectigo的证书价格差距挺大，可以货比三家，也可以通过国内代理商购买，价格往往更划算。

总结一句话：个人项目用Let's Encrypt配Certbot，一劳永逸；企业项目根据规模选云厂商或付费CA。别觉得这事复杂，第一次配确实要踩点坑，但配好了之后基本不用管，省心。