什么是 SSL/TLS 证书？
SSL证书，更准确地应称为TLS证书，是一种数字证书，用于在客户端（如浏览器）和服务器（如网站）之间建立加密链接。其核心功能是实现HTTPS协议，确保两者之间传输的所有数据都经过加密，防止被窃听或篡改。
当用户访问一个部署了有效SSL证书的网站时，浏览器会与服务器进行一次“握手”过程。在此过程中，服务器会向浏览器出示其SSL证书。浏览器会验证该证书是否由受信任的证书颁发机构签发、证书是否在有效期内、以及证书中的域名是否与正在访问的网站域名匹配。验证通过后，浏览器和服务器之间便会建立起一个安全的加密通道。
推荐阅读 SSL证书是什么？原理、类型与安装配置全解析。
这个加密链接的标志是浏览器地址栏中出现的锁形图标，以及以“https://”开头的网址。这向用户明确表示，他们与该网站的连接是私密且安全的。除了加密，SSL证书还提供了身份验证功能，帮助用户确认他们正在与真实的、预期的服务器通信，而非一个冒名顶替的钓鱼网站。
SSL证书的主要类型
根据验证级别和覆盖的域名数量，SSL证书主要分为以下几类，以满足不同场景的安全需求。
域名验证型证书
域名验证型证书是获取速度最快、成本最低的SSL证书类型。证书颁发机构仅验证申请者对域名的所有权，通常通过向域名注册邮箱发送验证邮件或要求设置特定的DNS记录来完成。DV证书非常适合个人网站、博客、测试环境或不需要向用户强烈展示企业身份的内部系统。它提供基本的加密功能，但浏览器地址栏仅显示锁标志，不会展示公司名称。
推荐阅读 SSL证书详解：从类型选择到Nginx服务器安装配置全指南。
组织验证型证书
组织验证型证书提供了比DV证书更高级别的信任。CA不仅验证域名所有权，还会核实申请组织的真实存在性，例如核查公司的工商注册信息。因此，OV证书的签发需要数个工作日。部署OV证书后，用户可以通过点击浏览器地址栏的锁图标来查看证书详情，其中会包含经过验证的公司名称信息。它适用于企业官网、电子商务平台等需要展示可信身份的场景。
扩展验证型证书
扩展验证型证书是验证最严格、信任等级最高的SSL证书。CA会对申请组织进行最全面的审查，包括其法律、物理和运营存在性。获得EV证书的网站在大多数主流浏览器中，其地址栏会变为绿色，并直接显示经过验证的公司名称。这为金融、支付、大型电商等对安全与信任有极高要求的行业提供了最直观的可信标识。不过，随着浏览器UI的演变，部分浏览器已不再突出显示绿色地址栏，但EV证书本身的严格验证标准依然存在。
多域名与通配符证书
除了按验证级别分类，SSL证书还可按覆盖的域名数量划分。单域名证书仅保护一个完全限定域名（例如 `www.example.com` 或 `example.com`）。多域名证书允许在一张证书中添加并保护多个不同的域名（例如 `example.com`, `example.net`, `shop.example.org`）。通配符证书则用于保护一个主域名及其所有同级子域名，例如 `*.example.com` 可以保护 `blog.example.com`, `mail.example.com`, `pay.example.com` 等，为拥有大量子域名的企业提供了极大的管理便利和成本效益。
推荐阅读 SSL证书是什么？从原理到选购安装的完整指南。
如何选择与购买 SSL 证书
面对众多类型的SSL证书，做出正确的选择需要综合考虑网站性质、安全需求和预算。
首先，评估您的网站类型。对于个人项目、信息展示类博客或测试服务器，域名验证型证书通常就足够了。如果网站涉及用户登录、数据传输或简单的电子商务，组织验证型证书能提供更好的信任背书。对于银行、证券、大型在线支付平台或任何处理高度敏感信息的网站，扩展验证型证书是最佳选择，它能最大程度地增强用户信心。
其次，考虑域名覆盖需求。如果仅有一个主域名，单域名证书即可。如果需要保护多个完全不相关的域名，应选择多域名证书。如果拥有一个主域名和大量动态子域名（例如为客户提供个性化子域名的SaaS平台），通配符证书是最经济高效的解决方案。
在购买渠道上，可以直接从全球知名的CA（如DigiCert, Sectigo, GlobalSign）或其授权经销商处购买。价格、售后服务和支持的灵活度是选择经销商时的重要考量因素。购买时还需注意证书的有效期，目前行业标准最长有效期为13个月，到期前必须续订或重新申请。
推荐阅读 SSL证书详解：从原理到部署，全面保障网站安全。
SSL证书的安装与部署流程
成功选购证书后，正确的安装与部署是确保安全链路生效的关键。这个过程主要分为三个步骤：生成CSR、提交验证、安装证书。
生成证书签名请求
证书签名请求是证书安装流程的第一步，需要在您的服务器上完成。CSR是一个包含您公钥和网站身份信息（如域名、组织名称、所在地）的加密文本文件。生成CSR的同时，服务器会自动创建一对匹配的私钥和公钥。私钥必须被绝对安全地保存在服务器上，且永不泄露，因为它是解密传输数据的唯一钥匙。而CSR文件中的公钥部分则会提交给CA。
提交验证并获取证书
将生成的CSR文件提交给您所购买的证书颁发机构。根据您购买的证书类型（DV, OV, EV），CA会启动相应级别的验证流程。对于DV证书，验证可能在几分钟内完成；对于OV/EV证书，则可能需要数天。验证通过后，CA会将签发的SSL证书文件（通常为 `.crt` 或 `.pem` 格式）以及可能的中级证书链文件通过邮件或控制面板提供给您。
在服务器上安装证书
最后一步是将获取到的证书文件安装到您的Web服务器软件上（如Apache, Nginx, IIS等）。此过程通常涉及将证书文件、私钥文件以及CA提供的证书链文件上传到服务器的特定目录，并在服务器配置文件中指定这些文件的路径。配置完成后，重启Web服务以使更改生效。
部署完成后，务必使用在线SSL检查工具（如SSL Labs的SSL Test）对您的网站进行全面检测。该工具会评估证书是否正确安装、配置是否安全（如是否支持过时的协议或弱密码套件），并给出评分和改进建议。定期维护，包括在证书到期前及时续订，也是确保持续安全的关键。
总结
SSL证书已从一项可选的安全增强措施，演变为构建可信、合规的现代网站的基石。它通过加密保护数据隐私，通过身份验证防范网络欺诈，是启用HTTPS协议的必要条件。理解域名验证型、组织验证型和扩展验证型证书之间的区别，能够帮助您根据网站的实际需求做出精准选择。而掌握从生成CSR、通过验证到最终在服务器上完成安装部署的完整流程，则是每一位网站运维人员必备的技能。正确部署和维护SSL证书，不仅守护了用户的数据安全，也显著提升了网站的专业形象和搜索引擎排名。
FAQ 常见问题
DV、OV、EV证书在浏览器显示上有什么区别？
DV证书在浏览器地址栏中通常只显示锁形图标和HTTPS标识。OV证书在锁图标详细信息中会展示已验证的组织名称。EV证书过去会在地址栏直接显示绿色的公司名称，虽然现代浏览器界面有所简化，但其证书详情中依然包含最高级别的组织验证信息，并被金融机构等高安全需求行业广泛采用。
一张SSL证书可以用于多台服务器吗？
是的，这取决于证书的授权许可。大多数SSL证书允许在同一组织内，为同一个受保护域名在多台服务器（例如前端Web服务器和负载均衡器）上安装使用。但需要注意的是，服务器私钥需要在这些服务器之间安全地共享或分别配置，务必遵循最佳安全实践，防止私钥泄露。
为什么我的网站安装了SSL证书，浏览器仍显示“不安全”？
出现此警告可能有多种原因。最常见的是网页内混合加载了HTTP和HTTPS资源（如图片、脚本、样式表来自HTTP链接），这被称为“混合内容”问题，浏览器会认为页面不完全安全。其他原因包括证书过期、证书域名与访问域名不匹配、证书链不完整，或服务器配置错误导致使用了不安全的协议（如SSL 2.0/3.0）。
SSL证书到期后会发生什么？
SSL证书一旦过期，浏览器会向访问者发出明确的“不安全”警告，甚至阻止用户继续访问该网站。这会导致用户体验急剧下降，信任丧失，并可能严重影响网站流量和业务。因此，必须建立证书监控和续订流程，建议在证书到期前至少30天进行续订操作。
通配符证书可以保护多级子域名吗？
标准的通配符证书（`*.example.com`）只能保护一级子域名，例如 `blog.example.com` 或 `shop.example.com`。它不能保护多级子域名，例如 `dev.www.example.com`（这是两级）。如需保护多级子域名，需要为特定级别申请对应的通配符证书（如 `*.www.example.com`），或为具体域名申请单独证书。
下一步，接下来该怎么做？
延伸阅读与实用知识
下面这些内容与本文主题相关，适合继续深入阅读。优先从与你当前问题最接近的文章开始看，再逐步扩展到周边主题，效果通常会更好。