SSL證書：定義、作用同核心原理
SSL證書，全名係安全套接層（Secure Sockets Layer）證書，而家已經發展成更加先進嘅傳輸層安全（Transport Layer Security，簡稱TLS）協議。佢係一種數碼證書，透過安裝喺Web伺服器上面，喺用戶嘅瀏覽器同伺服器之間建立一條加密嘅、安全嘅連接通道。佢嘅核心作用就係實現數據傳輸嘅保密性、完整性同身份驗證。
佢嘅核心原理係建基於非對稱加密同對稱加密嘅結合。當用戶訪問一個啟用咗HTTPS（即係HTTP over SSL/TLS）嘅網站嗰陣，伺服器會將其SSL證書傳送畀瀏覽器。證書入面包含咗伺服器嘅公鑰。瀏覽器會驗證證書係咪由可信嘅證書頒發機構簽發，同埋證書入面嘅域名等資料係咪同而家訪問嘅網站匹配。驗證通過之後，瀏覽器會生成一個隨機嘅「會話密鑰」，並且用伺服器嘅公鑰進行加密，然後傳送畀伺服器。伺服器用自己嘅私鑰解密之後，雙方就擁有咗相同嘅會話密鑰。之後，雙方所有嘅數據傳輸都會用呢個對稱會話密鑰進行加密同解密，咁樣就可以保證高速同安全嘅通信。
SSL證書嘅主要類型與區別
根據驗證等級嘅唔同，SSL證書主要分為三大類，適用於唔同嘅業務場景同安全需求。
推薦閱讀 全面解析SSL證書：從選購、安裝到管理同故障排查全攻略。
DV SSL證書（域名驗證型）
呢款係驗證等級最低、簽發速度最快（通常幾分鐘內）、價錢最經濟嘅證書類型。證書頒發機構只會驗證申請者對域名嘅擁有權，例如透過向域名註冊電郵發送驗證郵件，或者喺域名DNS記錄度加指定嘅TXT記錄。呢種證書為網站提供基本加密功能，但唔會驗證企業或組織嘅真實性。通常用喺個人網誌、測試環境，或者唔需要展示實體身份嘅小型網站。
OV SSL證書（組織驗證型）
呢類型證書提供比DV證書更高級別嘅信任。除咗驗證域名擁有權，證書頒發機構仲會核查申請企業嘅真實性同合法性，例如檢查公司喺工商部門嘅註冊資料。驗證資料會包含喺證書詳情入面。OV證書可以向用戶證明網站背後係一個真實存在嘅合法實體，常用喺企業官網、電子商務平台等需要建立用戶信任嘅場合。
EV SSL證書（擴展驗證型）
呢款係驗證最嚴格、安全等級最高、亦最受用戶信任嘅證書類型。申請EV證書需要經過最嚴格嘅審查流程，證書頒發機構會深入核查企業嘅法律、實體同營運存在性。最大嘅視覺分別係，安裝咗EV SSL證書嘅網站，喺大部分瀏覽器嘅地址欄會顯示綠色嘅企業名稱，而唔只係鎖形標誌。呢樣嘢大大增強咗用戶嘅信心，係金融機構、大型電商、政府平台等對安全有極高要求場景嘅首選。
獲取同部署SSL證書嘅完整流程
將SSL證書應用到你嘅網站，通常需要經過申請、驗證、安裝同設定幾個步驟。
第一步：生成證書簽名請求
喺購買證書之前，你需要喺你嘅伺服器上生成一個私鑰同一個證書簽署請求文件。私鑰係敏感文件，必須要安全保管。CSR文件就包含咗你嘅公鑰同埋你提交嘅組織資料同域名資料。生成CSR嘅過程通常喺伺服器命令行度完成，例如用OpenSSL工具，佢會要求你填寫國家、省市、組織名稱、通用名稱（即係你嘅域名）等等資料。
推薦閱讀 SSL證書完整指南：從類型揀到安裝部署嘅實踐詳解。
第二步：提交申請同完成驗證
向你揀嘅證書頒發機構或者代理商提交CSR文件，跟住根據你買嘅證書類型（DV/OV/EV）完成相應嘅驗證流程。對於DV證書，你可能只需要點擊一封驗證電郵入面嘅連結。對於OV/EV證書，就需要配合CA提供企業相關證明文件，同埋可能會接聽驗證電話。
第三步：下載同安裝證書
驗證通過之後，你可以從證書頒發機構度下載包含證書鏈（可能包括中級CA證書同根證書）嘅證書文件包。跟住，你需要將證書文件、中級CA證書同私鑰部署到你嘅Web伺服器軟件上，例如Nginx或者Apache。具體嘅配置文件路徑同指令會因應唔同嘅伺服器軟件而有分別。
第四步：強制HTTPS同配置重新定向
裝完證書之後，你個網站就可以用HTTPS嚟訪問。不過唔代表所有用戶都會用HTTPS。為咗確保所有流量都經過加密，你必須喺伺服器設定度整HTTP轉HTTPS嘅301永久重新定向，將所有經http://訪問嘅請求會自動跳轉到https://地址，咁就可以實現全站HTTPS。
部署之後嘅優化、管理同續期
證書成功部署並啟用HTTPS之後，工作並未結束。持續嘅維護同優化係確保網站長期安全穩定運行嘅關鍵。
啟用HSTS策略
HTTP嚴格傳輸安全協議係一種重要嘅安全增強策略。透過喺伺服器響應頭中加入Strict-Transport-Security字段，你可以通知瀏覽器，喺指定時間內，呢個網站嘅所有訪問都必須通過HTTPS進行。咁樣可以有效防禦SSL剝離等中間人攻擊，並阻止用戶首次訪問時可能因輸入http://而導致嘅明文訪問。
檢查證書有效性
使用網上SSL檢測工具定期檢查你網站嘅SSL配置係好好嘅習慣。呢啲工具會全面掃描你嘅證書，檢查佢係咪由可信CA簽發、證書鏈係咪完整、有冇用唔安全嘅加密套件或協議（例如SSL v2/v3， TLS 1.0等），並俾出綜合評分同改進建議。咁樣可以幫你及時發現同修復潛在嘅安全配置問題。
推薦閱讀 SSL 證書係咩？新手必睇嘅 SSL 證書完整指南同申請購買流程詳解。
證書嘅續期同替換
SSL證書都有明確嘅有效期，通常係一年或者更長。過期證書會令瀏覽器顯示安全警告，嚴重影響用戶體驗同網站信譽。所以，建立一個證書到期提醒機制至關重要。你需要喺舊證書過期之前，完成新證書嘅申請、驗證同替換安裝工作。現代嘅證書管理工具同服務可以自動化大部分續期流程，特別係對於可以自動續期嘅證書。
摘要
透過對SSL證書從定義原理、類型選擇、申請部署到後期維護嘅全流程解析，我哋可以睇到，部署HTTPS已經唔再係大型網站嘅專利，而係所有致力於保護用戶數據同建立可信品牌形象嘅網站營運者嘅必備之選。理解唔同類型證書嘅差異，並根據自身業務需求做出明智選擇，係第一步。熟練掌握從生成CSR到安裝配置嘅實戰流程，係保障網站安全嘅技術基礎。而後續嘅HSTS、定期檢查同到期續期等管理操作，則係長期安全運行嘅堅實保障。擁抱HTTPS，為你嘅網絡空間構建一個堅不可摧嘅加密層。
常見問題
### DV證書能滿足所有網站嘅安全需求嗎？
唔可以一概而論。DV證書僅能提供基礎嘅加密功能，驗證域名嘅所有權。對於需要展示企業實體身份、處理敏感資訊（如登入憑證、支付資訊）或者想喺瀏覽器地址欄畀用戶最高級別信任提示嘅網站，OV或EV證書係更合適嘅選擇。
部署SSL證書會唔會影響網站嘅訪問速度？
技術上嚟講，TLS握手同加解密過程會消耗一定嘅計算資源，增加少少延遲。但係喺現代硬件同優化嘅TLS協議（例如TLS 1.3）支持下，呢種開銷好細，通常用戶察覺唔到。相反，啟用HTTPS帶來嘅SEO排名提升同用戶信任度增加，其積極影響遠遠超過微小嘅性能開銷。
免費嘅SSL證書同付費嘅SSL證書有咩分別？
主要的区别在于信任保障、功能服务和支持。免费的证书（如Let‘s Encrypt）通常是DV类型，提供基础的加密，适合个人和非关键业务。付费证书则提供OV/EV验证、更长的有效期选项、更高的保险赔付额度以及专业的技术支持服务。付费证书由更具公信力的商业CA签发，在兼容性和信任度上可能会有更广泛的企业级认可。
如果SSL證書過咗期會點？
一旦證書過期，當用戶訪問你嘅網站時，現代瀏覽器會顯示顯眼嘅「不安全」警告，甚至阻止用戶繼續訪問。呢個會嚴重損害你嘅品牌信譽，導致用戶流失，並可能影響網站嘅搜索引擎排名。所以，必須建立有效嘅監控提醒機制，確保喺證書到期前完成續期同替換。
多域名同通配符證書分別適用於咩場景？
多域名證書容許你用一張證書保護多個完全唔同嘅域名或者子域名（例如 example.com, example.net, shop.example.org）。通配符證書就用嚟保護一個主域名同埋佢所有同級嘅子域名（例如 *.example.com， 可以匹配 blog.example.com, shop.example.com 等等）。前者適合管理多個獨立域名嘅情況，後者就非常啱有大量動態子域名嘅企業或者雲端服務平台。
下一步應該點做?
延伸閱讀及實用知識
以下內容與本文主題相關,適合進一步閱讀。一般而言,最好由與你目前問題最緊密相關的文章開始,然後逐步擴展到周邊主題。