SSL證書嘅核心原理同作用
SSL證書，即安全套接層證書，係數字證書嘅一種，遵循SSL/TLS協議。佢嘅核心作用係實現網站通訊嘅加密、身份驗證同數據完整性保護。當用戶訪問一個部署咗SSL證書嘅網站時，其瀏覽器同網站伺服器之間會建立一條加密通道，確保好似登入密碼、信用卡號、聊天記錄等敏感資訊喺傳輸過程中唔會被盜取或篡改。
其工作原理基於非對稱加密同對稱加密嘅結合。喺「握手」階段，伺服器會將其SSL證書（內含公鑰）傳送畀瀏覽器。瀏覽器驗證證書嘅有效性之後，會使用該公鑰加密一個隨機生成嘅「會話密鑰」並傳送回伺服器。伺服器用自己嘅私鑰解密獲得該會話密鑰。之後，雙方就使用呢個高效嘅對稱會話密鑰來加密同解密實際傳輸嘅數據。呢個過程唔單止保證咗初始密鑰交換嘅安全，亦確保咗後續通訊嘅高效性。
實現數據加密傳輸
加密係SSL證書最基礎嘅功能。佢將客戶端同伺服器之間傳輸嘅明文數據，轉化為無法直接閱讀嘅密文。冇對應嘅私鑰同會話密鑰，即使數據包喺傳輸過程中被第三方截獲，獲取嘅都只係一堆亂碼，從而有效防止咗「中間人攻擊」同數據竊聽。
提供伺服器身份驗證
證書由受信任嘅第三方機構——證書頒發機構簽發。CA喺簽發證書之前，會根據證書類型對申請者嘅身份進行嚴格驗證。所以，當瀏覽器顯示一個有效嘅SSL證書時，即係話一個可信嘅第三方已經證實咗「正在訪問嘅網站就係佢聲稱嗰個實體」，咁樣有助於用戶識別同避免仿冒嘅釣魚網站。
確保傳輸數據完整性
SSL/TLS協議喺傳輸過程中會為數據生成一個獨一無二嘅「消息摘要」。接收方喺解密之後，會重新計算同核對呢個摘要。如果數據喺傳輸過程中被惡意篡改，就算只係一個字符，摘要值都會完全唔同，接收方就會丟棄呢個數據包，從而確保咗信息嘅完整無誤。
點解現代網站必須部署SSL證書？
部署SSL證書已經唔再係網站嘅可選項，而係關乎安全、信任同業務發展嘅必備要素。其必要性主要體現喺技術、用戶體驗同商業規則三個維度。
從純粹嘅技術安全角度睇，任何未啟用HTTPS嘅網站都係用明文傳輸數據。喺公共Wi-Fi等開放網絡環境入面，攻擊者可以輕易咁嗅探到用戶嘅Cookie、會話ID同提交嘅表單內容，直接導致帳號被盜、私隱外洩。SSL證書係抵禦呢類基礎網絡攻擊嘅第一道，亦係最重要嘅一道防線。
推薦閱讀 SSL證書選購同部署全指南：為你嘅網站安全保駕護航。
喺用戶體驗同信任建立方面，現代主流瀏覽器（例如Google Chrome、Apple Safari）已經將所有HTTP網站明確標記為「不安全」。呢個醒目嘅紅色警告會顯著增加用戶嘅跳出率。反之，帶有安全鎖圖標同「HTTPS」前綴嘅網址，就向用戶傳遞咗「呢個連接係安全」嘅積極信號，極大提升咗網站嘅專業度同可信度，對於電商、金融、政務等平台尤其重要。
此外，商業同搜索引擎規則亦強制要求HTTPS。Google早喺幾年前就已經將HTTPS作為搜尋排名嘅一個正面加權信號。呢個意味住，喺其他條件相同嘅情況下，啟用HTTPS嘅網站可能攞到比HTTP網站更好嘅搜尋排名。同時，好多現代Web API同瀏覽器新功能都強制要求安全上下文。例如，地理位置定位、Service Worker、HTTP/2/3協議等，都必須喺HTTPS環境下先至可以正常運作或者發揮最佳性能。
點樣揀同攞SSL證書？
SSL證書主要根據驗證深度同覆蓋範圍進行分類，揀啱自己需求嘅證書係第一步。
根據驗證級別，證書可以分為三類：域名驗證型證書只驗證申請者對域名嘅控制權，簽發速度快，適合個人網站或者測試環境；組織驗證型證書會驗證企業或者組織嘅真實合法存在性，證書詳情入面會顯示公司資料，安全性更高，適用於商業網站；擴展驗證型證書嘅驗證過程最為嚴格，除咗組織驗證，仲會進行更嚴格嘅資格審核，其最顯著嘅特徵係啟動瀏覽器地址欄嘅綠色企業名稱欄，通常被銀行、大型電商等高端品牌採用。
根據覆蓋嘅域名數量，可以分為單域名證書、多域名證書同通配符證書。通配符證書可以保護一個主域名同埋佢所有同級子域名，管理起嚟非常方便。
获取证书的途径主要有两种：向全球或区域性的商业CA购买，或使用Let‘s Encrypt等公益CA提供的免费DV证书。商业证书提供更丰富的类型选择、保险赔付和技术支持。免费证书则大大降低了HTTPS的部署门槛，但其有效期通常较短，需要配置自动续期。
申請流程一般包括：喺伺服器上生成CSR檔案，提交畀CA並完成指定嘅驗證，驗證通過後下載頒發嘅證書檔案，最後將佢安裝到Web伺服器軟件入面。
SSL證書嘅安裝、配置同管理維護
成功攞到證書檔案之後，正確安裝同配置係確保安全生效嘅關鍵。唔同嘅Web伺服器軟件，安裝步驟會有差異。
推薦閱讀 你嘅網站安全嗎？一文睇明SSL證書嘅作用同申請使用全指南。
對於Nginx伺服器，需要將證書檔案同私鑰檔案上傳到伺服器目錄，然後喺對應嘅網站配置檔案入面，修改監聽埠為443，並指定ssl_certificate同埋ssl_certificate_key嘅路徑。對於Apache伺服器，就需要啟用SSL模組，喺虛擬主機配置入面設定SSLCertificateFile同埋SSLCertificateKeyFile指令。
只係安裝證書並唔足夠，必須進行安全加固配置。首要任務係設定301永久重定向，強制將所有HTTP流量跳轉到HTTPS地址。其次，應該停用老舊、唔安全嘅SSL協議版本，喺配置入面只啟用TLS 1.2同TLS 1.3協議。同時，需要精心配置加密套件列表，優先使用支援前向保密嘅加密套件，咁樣即使伺服器私鑰喺將來洩露，都無法解密歷史嘅通信記錄。
證書嘅長期管理維護同樣重要。必須密切關注證書嘅有效期，建議喺到期前至少一個月完成續期操作，可以設定日曆提醒或者利用監控工具。妥善保管私鑰文件，一旦懷疑私鑰可能洩露，應立即透過CA吊銷該證書。定期檢查證書嘅配置係咪符合最新嘅安全最佳實踐，例如檢查係咪支援OCSP裝訂以提升驗證效率。
摘要
SSL證書作為互聯網安全信任體系嘅基石，其重要性不言而喻。佢透過精妙嘅加密機制，喺開放嘅互聯網上構建起私密嘅通信隧道，保護咗用戶嘅數據同私隱。同時，佢亦係網站建立專業形象、獲取搜尋引擎青睞、適配現代Web技術嘅必備條件。從理解其原理、認識其必要性，到正確選擇、安裝並維護證書，構成咗網站安全運營嘅一個完整閉環。喺網絡安全威脅日益複雜嘅今日，為網站部署並維護一個有效嘅SSL證書，係所有網站擁有者對用戶應盡嘅基本責任。
常見問題
SSL證書同TLS證書係咪同一樣嘢？
我哋通常所講嘅SSL證書，喺技術上而家指代嘅都係TLS協議。SSL係TLS嘅前身，由於歷史習慣，業界仍普遍沿用「SSL證書」呢個名稱。當前主流嘅、安全嘅協議版本係TLS 1.2同TLS 1.3。
推薦閱讀 一篇文章搞懂：SSL 證書係乜？點解對網站安全咁重要？。
部署咗SSL證書之後，網站係咪就絕對安全喇？
唔係嘅。SSL證書主要保障嘅係數據喺「傳輸過程中」嘅安全，即係從用戶瀏覽器到伺服器呢段鏈路上嘅加密。佢並唔能夠防止網站伺服器本身俾黑客入侵、唔能夠阻止Web應用程式漏洞，亦唔能夠防護DDoS攻擊。網站安全係一個系統工程，SSL證書係其中至關重要嘅一環，但並非全部。
通配符證書可以保護所有子域名嗎？
通配符證書可以保護一個特定層級嘅所有子域名。例如，一張為*.example.com頒發嘅通配符證書，可以保護blog.example.com、shop.example.com，但係保護唔到dev.blog.example.com. 如需保護多級子域名，需要申請更複雜嘅證書或者使用多域名證書。
點樣檢查我嘅網站SSL證書配置係咪正確？
可以使用好多網上免費工具進行檢查，例如SSL Labs嘅SSL Server Test。呢啲工具會詳細分析你嘅證書係咪有效、加密套件係咪安全、協議版本有冇過時，並俾出一個綜合評分同改進建議，係管理員進行安全檢查嘅利器。
下一步應該點做?
延伸閱讀及實用知識
以下內容與本文主題相關,適合進一步閱讀。一般而言,最好由與你目前問題最緊密相關的文章開始,然後逐步擴展到周邊主題。