喺而家嘅網絡環境入面，數據安全傳輸係建立信任嘅基石。當用戶喺瀏覽器地址欄見到嗰個細細嘅鎖形圖標時，就知道佢哋同網站之間嘅通信係加密同受保護嘅呢一切背後，正係由SSL/TLS證書呢項關鍵技術所驅動。
SSL/TLS證書嘅核心原理係乜嘢
SSL證書，更準確啲應該叫TLS證書，係一種數碼文件，佢嘅核心作用係喺客戶端（例如瀏覽器）同伺服器之間建立一個加密嘅通信通道。佢基於公鑰基礎設施（PKI）體系，利用非對稱加密技術嚟實現身份認證同數據加密。
非對稱加密同密鑰交換
非對稱加密用一對密鑰：公鑰同私鑰。公鑰係公開嘅，用嚟加密數據；私鑰就由伺服器秘密保存，用嚟解密數據。當用戶訪問一個啟用咗HTTPS嘅網站時，伺服器會將佢嘅SSL證書（包含公鑰）傳送畀用戶嘅瀏覽器。瀏覽器用呢個公鑰加密一個隨機生成嘅「會話密鑰」，然後傳返去伺服器。伺服器用自己嘅私鑰解密，攞到呢個會話密鑰。之後，雙方就用呢個高效嘅對稱會話密鑰嚟加密所有通訊內容。
推薦閱讀 乜嘢係SSL證書？從原理到部署安裝嘅完整指南。
數碼簽名同證書鏈信任
證書本身嘅可信性至關重要。證書頒發機構（CA）喺簽發證書時，會用自己嘅私鑰對證書申請者嘅資料（包含公鑰）進行數碼簽名，生成一個獨一無二嘅哈希值。瀏覽器同操作系統內置咗受信任嘅根CA證書庫。當瀏覽器收到伺服器證書時，會利用證書鏈（伺服器證書 -> 中間CA證書 -> 根CA證書）逐級驗證數碼簽名嘅有效性，從而確信伺服器嘅公鑰同身份係真實可信嘅，冇被篡改過。
SSL證書有邊啲主要類型
根據驗證級別同功能嘅唔同，SSL證書主要分為三類，以滿足唔同場景嘅安全需求。
域名驗證型證書
域名驗證型證書係獲取門檻最低、簽發速度最快嘅證書類型。CA只係驗證申請者對特定域名嘅擁有權，通常透過向域名嘅WHOIS電郵發送驗證郵件，或者要求設定特定嘅DNS記錄嚟完成。呢類證書可以為通訊提供基本嘅加密功能，但唔包含組織身份資料，所以瀏覽器地址欄只會顯示鎖形標誌同HTTPS，適合個人網站、網誌或者測試環境。
機構驗證型證書
組織驗證型證書需要CA對申請組織嘅真實合法性進行人手核查。CA會檢查企業喺政府註冊部門嘅登記資料，例如公司名、所在地等等。由於經過咗更嚴格嘅身份驗證，安裝咗OV證書嘅網站，用戶可以喺證書詳情度睇到經過驗證嘅企業資料，有助建立更高嘅信任度，通常用喺企業官網同商業平台。
擴展驗證型證書
擴展驗證型證書係驗證最嚴格、信任等級最高嘅證書。其簽發過程跟從全球統一嘅嚴格指引，CA會對組織進行全面嘅背景調查。最明顯嘅特徵係，支援EV證書嘅瀏覽器地址欄會變做綠色，並直接顯示經過驗證嘅公司名。呢樣為金融、電商等高安全要求網站提供咗最高級別嘅身份保證，明顯增強用戶信心。
推薦閱讀 SSL證書全解析：從原理到部署，為你嘅網站安全保駕護航。
點樣申請同部署SSL證書
由申請到部署，成個過程可以系統化咁進行，確保網站安全無縫升級。
證書申請流程詳解
首先，要喺伺服器度生成一個私鑰同證書簽署請求。CSR包含咗你嘅域名、組織資料，同埋由私鑰對應嘅公鑰。跟住，將CSR提交俾選定嘅CA，並完成相應嘅驗證級別（DV、OV或EV）。驗證通過後，CA會簽發證書檔案（通常包括伺服器證書同可能嘅中間證書鏈），你就會收到呢啲檔案。
伺服器配置同部署
部署步驟會因應唔同嘅伺服器軟件而有差異。以流行嘅Nginx同Apache為例，你需要將收到嘅證書檔案同私鑰檔案上傳到伺服器指定嘅目錄。然後，修改伺服器設定檔，指定證書同私鑰嘅路徑，並設定監聽443埠（HTTPS預設埠）。設定完成後，重新載入或者重啟伺服器軟件，令設定生效。最後，強烈建議設定HTTP到HTTPS嘅自動重定向，確保所有流量都行安全連接。
部署後檢查同驗證
證書部署完成之後，一定要進行全面檢查。使用網上SSL檢測工具，可以驗證證書係咪安裝正確、加密套件係咪安全、係咪支援現代瀏覽器同埋有冇證書鏈唔完整等問題。確保冇混合內容（即係HTTPS頁面入面載入咗HTTP資源），否則瀏覽器仍然會顯示唔安全警告。
點樣有效管理同維護證書
SSL證書唔係一勞永逸，有效嘅生命週期管理係保證持續安全嘅關鍵。
確保證書及時續訂
所有SSL證書都有明確嘅有效期，通常係一年。過期證書會導致瀏覽器顯示嚴重嘅「唔安全」警告，中斷網站服務。應該建立監控機制，喺證書到期前30-60日啟動續期流程。大多數CA支援自動續期，可以避免因為唔記得而導致嘅服務中斷。
推薦閱讀 全面解析SSL證書：類型、工作原理同網站安全部署指南。
監控同安全策略更新
定期監控證書透明度日誌，睇下有冇未經授權嘅證書被簽發。同時，留意伺服器加密套件嘅配置，停用舊款唔安全嘅協議（例如SSL 2.0/3.0）同弱加密演算法。隨住運算能力提升，需要適時增加密鑰長度，例如由2048位RSA升級到更安全嘅ECDSA演算法。
處理證書吊銷
如果私鑰唔小心洩漏，或者域名/組織資訊變更，必須立即向CA申請吊銷舊證書，並重新申請簽發新證書。吊銷後，舊證書會被加入證書吊銷清單，瀏覽器喺驗證時會拒絕呢個證書，從而防止佢被惡意使用。
摘要
SSL/TLS證書係構建網絡空間信任同安全嘅基石技術。佢透過複雜嘅加密同身份驗證機制，保障數據傳輸嘅機密性、完整性同真實性。從理解佢背後嘅非對稱加密同信任鏈原理，到根據需求揀啱嘅證書類型，再到正確咁申請、部署同進行全生命周期嘅有效管理，每一個環節都至關重要。喺網絡安全威脅日益複雜嘅今日，正確咁實施同維護SSL證書唔單止係技術最佳實踐，更加係對所有用戶嘅安全責任。掌握從原理到實踐嘅完整知識，將會幫到開發者同運維人員更堅固咁守護自己嘅數碼疆域。
常見問題
DV、OV、EV證書喺瀏覽器顯示上有咩分別
DV證書喺瀏覽器中通常只會顯示鎖形標誌同HTTPS字樣。OV證書就可以喺證書詳情度點擊查看已驗證嘅組織信息。EV證書嘅視覺區別最明顯，喺好多主流瀏覽器入面，地址欄會變成綠色，並直接展示持有證書嘅公司名稱，提供最高級別嘅視覺信任提示。
部署HTTPS後網站變慢點算
啟用HTTPS確實會引入額外嘅TLS握手同加解密計算開銷，但通過優化可以將影響減到最低。主要優化措施包括：啟用TLS會話恢復（例如會話票證），減少重複握手；啟用HTTP/2協議，HTTPS係其強制要求，能顯著提升頁面加載性能；使用更高效嘅橢圓曲線加密演算法；並確保伺服器擁有足夠嘅計算資源處理加密任務。
多網域同通配符證書應該點樣揀
多網域證書允許喺一張證書中保護多個完全唔同嘅指定網域。通配符證書則使用一個星號（*）來保護一個主網域及其所有同級子網域，例如 *.example.com 可以保護 shop.example.com, blog.example.com 等。選擇取決於需求：如果需要保護多個互不相關嘅網域，揀多網域證書；如果需要保護一個網域下嘅眾多或動態子網域，通配符證書更經濟便捷。
證書過期咗會有乜嘢後果
證書一旦過期，後果會非常嚴重而且即時生效。瀏覽器同客戶端應用會中斷連線，並向用戶顯示「此網站嘅安全證書已過期」或者「連線唔安全」嘅醒目警告頁面，用戶將無法正常訪問你嘅網站。咁樣會導致服務中斷、用戶體驗極差，同埋嚴重損害網站嘅信譽。必須建立提醒機制，確保喺證書到期前完成續期同更換。
免費嘅SSL證書同付費嘅有咩分別
免费证书（如Let‘s Encrypt颁发的）通常是DV类型，提供了与付费DV证书相同强度的加密功能，非常适合个人项目、小型网站。其主要限制在于有效期较短（90天），需要频繁自动续期。付费证书则提供OV、EV等更高验证等级的选择，附带技术支持、保修赔付（如因证书问题导致经济损失可获赔偿）、以及更长的有效期（一年或两年）。企业级用户通常根据品牌信任和附加服务选择付费证书。
下一步應該點做?
延伸閱讀及實用知識
以下內容與本文主題相關,適合進一步閱讀。一般而言,最好由與你目前問題最緊密相關的文章開始,然後逐步擴展到周邊主題。