喺而家呢個數碼化時代，你上網嗰陣有冇留意到瀏覽器地址欄出現嘅嗰個細鎖標誌？呢個標誌背後，就係SSL證書喺度默默守護緊你嘅資訊安全。佢係建立互聯網信任同安全嘅基石，透過喺你嘅網站伺服器同訪客嘅瀏覽器之間建立一條加密嘅「私密通道」，確保所有傳輸嘅數據唔會被盜取或者篡改。
呢條私密通道嘅核心係HTTPS協議入面嘅「S」，佢代表「安全」（Secure）。同傳統嘅HTTP明文傳輸唔同，HTTPS使用SSL/TLS協議嚟加密數據，而SSL證書就係啟動同驗證呢個加密過程嘅關鍵憑證。佢就好似網站嘅「數碼護照」咁樣，由受信任嘅第三方機構（證書頒發機構，CA）簽發，向全世界證明「呢個網站係佢聲稱嘅網站擁有者擁有，而且連接係安全嘅」。
SSL證書嘅核心工作原理
SSL/TLS協議嘅工作原理係基於非對稱加密同對稱加密嘅結合，呢個係一個精妙而且高效嘅協同過程。
推薦閱讀 SSL證書完整指南：類型、工作原理同選購安裝全解析。
非對稱加密握手
當用戶第一次嘗試訪問一個啟用咗HTTPS嘅網站嗰陣，握手過程就會隨即開始。伺服器會將佢嘅SSL證書（包含公鑰）傳送畀用戶嘅瀏覽器。瀏覽器會使用內置嘅受信任根證書嚟驗證伺服器證書嘅真實性同有效性。驗證通過之後，瀏覽器會生成一個隨機嘅「會話密鑰」。
跟住，瀏覽器會用伺服器嘅公鑰加密呢個會話密鑰，然後傳返去伺服器。因為只有擁有對應私鑰嘅伺服器先可以解開呢段訊息，咁樣就可以安全噉攞到會話密鑰。到呢一步，雙方就透過非對稱加密（公鑰同私鑰體系）安全噉交換咗一個共享嘅秘密——會話密鑰。
對稱加密傳輸數據
一旦會話密鑰安全交換咗，握手階段就完成。之後所有嘅數據傳輸就會轉用對稱加密。即係話，伺服器同瀏覽器會用同一個會話密鑰嚟加密同解密數據。對稱加密嘅速度遠遠快過非對稱加密，咁樣喺保證安全嘅同時，又唔會對通訊速度造成太大影響。呢個加密嘅連線會一直保持，直到會話結束為止。
呢個過程確保咗數據嘅機密性（加密內容）、完整性（數據喺傳輸過程中冇被篡改）同身份認證（確認緊同正確嘅伺服器通訊）。
SSL證書嘅主要類型同選擇
根據驗證級別同功能覆蓋範圍，SSL證書主要分為三大類，以滿足唔同場景嘅安全需求。
推薦閱讀 SSL證書係咩嚟㗎？點解所有網站都需要佢？一文睇明。
域名驗證型證書
DV證書係最易攞、最快嘅證書類型。證書頒發機構只會驗證申請者對域名嘅擁有權（例如透過驗證域名註冊電郵或者設定DNS解析記錄）。佢提供基本加密功能，但唔會顯示公司名資訊。
呢種證書好適合個人網站、網誌、測試環境或者內部服務，佢嘅優勢在於成本低、簽發快（通常幾分鐘就搞掂）。
機構驗證型證書
OV證書提供更高級別嘅信任。除咗驗證域名擁有權，CA仲會對申請機構嘅真實存在性進行嚴格審查，包括查核工商註冊資料、電話等。證書詳情會包含經過驗證嘅公司名。
佢適用於企業級網站、電子商務平台同政府機構門戶，向用戶明確展示網站背後營運實體嘅合法身份，增強用戶信任感。
擴展驗證型證書
EV證書係現時驗證最嚴格、安全等級最高嘅證書。申請者需要經過最全面嘅企業身份審查。佢最顯著嘅特點係，喺支援EV證書嘅瀏覽器入面，地址欄唔單止會顯示鎖形標誌，仲會直接顯示綠色嘅企業名稱。
金融網站（例如網上銀行、證券交易所）、大型電商平台同埋任何需要極高信任度嘅網站都應該優先考慮EV證書，為用戶提供最高級別嘅身份確保證據。
另外，根據覆蓋嘅域名數量，仲有單域名證書、多域名證書同埋通配符證書（保護一個域名同埋佢所有下一級子域名）。揀嘅時候需要綜合考慮網站性質、預算、所需信任等級同埋技術需求。
點樣申請同安裝SSL證書
獲取同啟用SSL證書嘅過程雖然涉及多個步驟，但係而家已經好流程化。
步驟一：生成證書簽名請求
首先，喺你嘅網站伺服器（例如Apache、Nginx）上面生成一個CSR檔案同埋一對密鑰（私鑰一定要絕對保密）。CSR入面包含咗你嘅網站域名、組織資料同埋公鑰。呢個CSR檔案就係你向證書頒發機構申請證書嘅「申請書」。
推薦閱讀 從入門到精通：SSL證書全面解析、購買部署指南同安全最佳實踐。
步驟二：揀選CA同提交驗證
选择一家可信的证书颁发机构（如DigiCert, Sectigo, Let's Encrypt等），提交您的CSR文件，并根据所申请的证书类型（DV， OV， EV）完成相应的验证流程。对于DV证书，验证通常是自动化的，非常快捷。
步驟三：下載同安裝證書
驗證通過之後，CA會簽發證書檔案（通常係一個.crt或.pem檔案）。你需要將呢個證書檔案連同可能嘅中間證書鏈檔案，一齊安裝到你嘅Web伺服器上面，並且同之前生成嘅私鑰進行關聯配置。
步驟四：伺服器配置同重定向
安裝之後，需要配置伺服器軟件（例如修改Apache嘅httpd.conf或Nginx嘅nginx.conf檔案），喺相應嘅網站配置度啟用443端口，同埋指定證書同私鑰嘅路徑。最後，至關重要嘅一步係配置HTTP到HTTPS嘅301永久重定向，確保所有用戶訪問同搜尋引擎收錄都指向安全嘅HTTPS版本。
SSL證書嘅管理同維護
部署SSL證書唔係一勞永逸，有效嘅生命週期管理係持續安全嘅關鍵。
監控證書有效期：所有SSL證書都有明確嘅有效期（通常係一年或者更短）。必須喺證書到期前完成續期同更換，否則網站會出現安全警告，導致用戶無法訪問。建議設定日曆提醒，或者使用證書監控工具進行自動化預警。
處理混合內容問題：將網站遷移到HTTPS後，一個常見嘅問題係「混合內容」。呢個意思係網頁本身透過HTTPS加載，但當中嘅某啲資源（例如圖片、JavaScript、CSS檔案）仍然透過唔安全嘅HTTP連結加載。現代瀏覽器會阻止呢啲唔安全內容或者顯示警告。必須確保網頁上所有資源連結都更新為「https://」開頭或者使用相對協議「//」。
遵循最佳安全實踐：應該停用唔安全嘅SSL/TLS舊協議（例如SSL 2.0， SSL 3.0）同埋弱加密套件。優先使用TLS 1.2或者TLS 1.3協議，並且配置前向保密等增強安全嘅功能。定期使用在線SSL檢測工具掃描你嘅伺服器配置，確保佢符合目前嘅安全標準。
摘要
SSL證書已經從一項可選技術轉變為互聯網基礎設施嘅必備要素。佢唔單只係保護數據傳輸私隱嘅加密工具，更加係建立網站可信身份、提升用戶信心嘅重要標誌。從理解佢非對稱與對稱加密協同嘅工作原理，到根據需求揀選合適嘅證書類型，再到完成申請、安裝同埋後續維護，掌握SSL證書嘅全流程管理，對於任何網站擁有者、開發者同埋運維人員嚟講，都係一項至關重要嘅技能。擁抱HTTPS，為你嘅用戶提供一個安全可靠嘅訪問環境，亦都係為構建更可信嘅互聯網貢獻力量。
常見問題
DV， OV， EV證書喺瀏覽器中顯示有咩唔同？
DV證書喺瀏覽器地址欄通常只顯示鎖形標誌同「安全」字樣。OV證書一樣顯示鎖標誌，但喺點擊查看證書詳情時，可以睇到已經驗證嘅組織資料。EV證書就提供最高級別嘅視覺信任，喺大多數瀏覽器入面，除咗鎖標誌，仲會直接喺地址欄綠色高亮顯示經過嚴格驗證嘅公司名稱。
免费的SSL证书（如Let‘s Encrypt）和付费证书有何区别？
核心分別在於擔保、功能同支援。免費證書通常係DV類型，提供基礎嘅加密功能，適合個人或者小型項目。佢哋有效期短（90日），需要自動續期。付費證書提供OV、EV等更高級別嘅驗證、更長嘅有效期（例如一年或者兩年）、金額唔等嘅安全擔保賠償，同埋專業嘅技術支援服務。對於商業網站，付費證書喺建立品牌信任同提供商業保障方面更加有優勢。
安裝SSL證書會唔會影響網站訪問速度？
喺握手階段，由於需要非對稱加密運算，會引入極短嘅延遲（通常毫秒級）。但一旦建立連接，使用對稱加密進行數據傳輸，其性能開支非常之細。現代硬件同TLS 1.3協議嘅優化進一步減少咗握手時間。綜合嚟睇，啟用HTTPS所帶嚟嘅安全收益遠遠大過佢對速度嘅微小影響，而且搜索引擎（例如谷歌）會將HTTPS作為排名嘅一個積極因素。
點解有啲HTTPS網站瀏覽器仍然會顯示「不安全」？
最常見嘅原因係存在「混合內容」，即係網頁代碼中引用咗HTTP協議嘅資源。另一個可能嘅原因係證書已經過期、證書名稱同網站域名唔匹配，或者係自簽名嘅根證書唔被瀏覽器信任。伺服器配置使用咗唔安全嘅協議或者加密套件亦都可能觸發警告。需要根據瀏覽器嘅具體提示信息進行排查同修復。
下一步應該點做?
延伸閱讀及實用知識
以下內容與本文主題相關,適合進一步閱讀。一般而言,最好由與你目前問題最緊密相關的文章開始,然後逐步擴展到周邊主題。