SSL證書嘅核心原理：非對稱加密同信任鏈
SSL證書嘅運作機制係建立喺現代密碼學嘅基礎之上，其核心喺於非對稱加密同數位證書信任體系。理解呢啲原理係掌握SSL技術嘅第一步。
非對稱加密點樣運作
非對稱加密使用一對密鑰：公鑰同私鑰。公鑰係公開嘅，可以自由分發；私鑰就必須嚴格保密，由證書持有人單獨保管。當客戶端（例如瀏覽器）連接到伺服器時，伺服器會向其發送自己嘅SSL證書，其中包含伺服器嘅公鑰。
客戶端用呢個公鑰加密一個隨機生成嘅「會話密鑰」，然後傳送俾伺服器。由於只有擁有對應私鑰嘅伺服器先可以解密呢串訊息，所以可以安全噉交換呢個會話密鑰。之後，雙方就會用呢個高效嘅對稱會話密鑰嚟加密實際傳輸嘅數據。呢個過程叫做「SSL/TLS握手」，佢巧妙噉結合咗非對稱加密嘅安全性同對稱加密嘅效率。
推薦閱讀 SSL證書：保障網站安全同埋提升搜尋引擎排名嘅終極指南。
證書頒發機構嘅信任角色
呢度產生咗一個關鍵問題：客戶端點樣確信收到嘅公鑰真係屬於佢要訪問嘅網站，而唔係一個冒充嘅中間人？呢度就係證書頒發機構發揮作用嘅地方。CA係一個受到操作系統同瀏覽器廠商廣泛信任嘅第三方組織。
CA會對申請者嘅身份進行嚴格驗證。驗證通過之後，CA會用自己嘅私鑰對申請者嘅公鑰同身份信息進行數碼簽名，生成SSL證書。因為瀏覽器同操作系統中預置咗受信CA嘅根證書（包含佢嘅公鑰），佢哋可以驗證CA簽名嘅真實性。由呢度開始，建立一條從受信根證書到網站伺服器證書嘅「信任鏈」。瀏覽器通過校驗呢條完整嘅鏈條，從而信任伺服器嘅身份。
SSL證書嘅主要類型同選擇
並非所有SSL證書都提供相同級別嘅驗證同保障。根據驗證等級同覆蓋範圍，SSL證書主要分為以下幾類。了解佢哋嘅區別對於做出正確選擇至關重要。
DV、OV同EV證書嘅驗證差異
域名驗證型證書係基礎類型。CA只係驗證申請者對域名嘅所有權，例如透過喺域名DNS記錄度加一條特定嘅TXT記錄。DV證書簽發速度快，成本低，適用於個人網站、博客等場景，主要喺瀏覽器地址欄顯示鎖形標誌。
組織驗證型證書提供咗更高級別嘅信任。除咗驗證域名所有權，CA仲會核查申請企業嘅真實合法存在性，例如檢查政府網上嘅工商註冊資料。OV證書會將呢啲經過驗證嘅組織資訊包含喺證書細節度，適合企業同政府網站使用，向用戶表明呢個係一個經過實體驗證嘅合法組織。
推薦閱讀 SSL 證書：定義、工作原理及如何為網站揀選同安裝最佳設定。
增強驗證型證書提供最高級別嘅驗證同視覺信任標識。CA會對組織進行嚴格嘅線下審查，包括法律、實體同營運存在性嘅多重核查。成功部署EV證書嘅網站，喺大部分瀏覽器中會令地址欄變為綠色，並直接顯示公司名稱。呢個對於銀行、金融、電商等需要極高信任度嘅網站係標準配置。
單域名、多域名同通配符證書
根據證書覆蓋嘅域名數量，SSL證書可以分為唔同類型。單域名證書僅保護一個完全限定嘅域名。
多域名證書允許喺一張證書中添加並保護多個唔同嘅域名或子域名，為管理多個域名嘅企業提供咗便利同成本優勢。
通配符證書就用嚟保護一個域名同埋佢所有嘅同級子域名。例如，一張為 *.yourdomain.com 頒發嘅通配符證書，可以同時保護 blog.yourdomain.com、shop.yourdomain.com 等等。佢非常適合用嚟處理動態子域名或者大量子域名嘅情況。
SSL證書嘅申請、安裝同埋部署流程
成功攞到同啟用SSL證書需要經過一連串標準步驟，由生成密鑰對到最終喺伺服器上設定好。
證書簽名請求嘅生成同提交
部署流程由伺服器端開始。管理員需要喺伺服器度產生一個私鑰同埋對應嘅證書簽署請求。CSR係一個經過編碼嘅文字檔案，入面包含咗你嘅公鑰同埋將會寫入證書嘅組織資訊，好似通用名稱、組織名、所在地等等。
推薦閱讀 SSL證書係咩？全面解析工作原理、類型同部署指南。
產生CSR之後，需要向揀好嘅CA提交呢個請求，跟住根據買嘅證書類型完成相應嘅驗證流程。對於DV證書，驗證通常係自動化嘅，幾分鐘內就可以搞掂；至於OV同EV證書，就要等CA人手審核同驗證提交嘅組織資訊，可能需要幾日時間。
伺服器配置同強制HTTPS跳轉
收到CA頒發嘅證書檔案之後，需要將佢同之前產生嘅私鑰一齊安裝喺網頁伺服器度。具體配置方法會因應唔同嘅伺服器軟件而有分別。
以Nginx為例，需要喺伺服器設定檔案度指定證書檔案同私鑰檔案嘅路徑，並且監聽443埠口嚟處理HTTPS請求。一個關鍵嘅後續步驟係設定HTTP到HTTPS嘅301重定向，確保所有用戶訪問都通過安全嘅加密連接進行。咁樣唔單止可以保障安全，對搜尋引擎優化都有益處。
證書嘅生命週期管理同最佳安全實踐
部署SSL證書唔係一勞永逸。有效嘅生命週期管理同持續嘅安全實踐係維持網站安全狀態嘅關鍵。
監控有效期同自動化續訂
每張SSL證書都有明確嘅有效期，行業標準已經縮短到398日。過期證書會導致瀏覽器顯示嚴重嘅安全警告，中斷網站服務同埋損害信譽。
最佳做法係建立有效嘅監控機制，喺證書到期前足夠嘅時間（例如30日）收到提醒。強烈建議使用自動化工具或者CA提供嘅服務實現證書嘅自動續期同部署。咁樣可以消除因為人為疏忽導致證書過期嘅風險，尤其喺管理大量證書嘅企業環境入面。
啟用HTTP/2同HSTS策略
部署SSL證書之後，應該進一步啟用相關安全同性能增強技術。HTTP/2協議要求使用HTTPS連接，佢能夠顯著提升網站加載速度，透過多路復用、頭部壓縮等特性優化性能。
另一個重要安全措施係部署HSTS。HSTS係一個響應頭，佢指示瀏覽器喺指定時間內強制透過HTTPS同呢個網站通訊，就算用戶手動輸入 http:// 都唔例外。咁樣可以有效防禦SSL剝離等中間人攻擊，同埋為網站安全性增加咗堅實嘅一層保障。
摘要
SSL證書作為互聯網安全嘅基石，佢嘅作用遠遠唔止喺瀏覽器地址欄顯示一把鎖咁簡單。佢係一個基於非對稱加密同全球信任體系嘅複雜解決方案，確保咗數據喺傳輸過程入面嘅機密性、完整性同伺服器身份嘅真實性。由揀適合嘅證書類型，到正確咁申請、部署，再到持續嘅生命週期管理同安全加固，每一個環節都至關重要。
隨住網絡環境愈嚟愈複雜，無論係個人站長定係企業IT管理者，都應該深入理解SSL證書嘅工作原理，同埋跟隨最佳實踐嚟實施同管理。呢樣唔單止係滿足合規性要求嘅需要，更加係建立用戶信任、保護數據資產、維護品牌聲譽嘅必備措施。
常見問題
### SSL證書同TLS證書係咪同一樣嘢？
係呀，喺日常生活我哋通常會撈亂呢兩個術語。技術上講，SSL係TLS嘅前身協議。由於SSL呢個名早啲普及同埋廣泛被認知，所以行業慣性上仲會將用喺實現HTTPS加密嘅安全證書叫做SSL證書，就算而家互聯網標準用緊嘅係佢後續版本TLS協議。
免費嘅SSL證書同收費嘅有咩分別？
免费证书通常指Let's Encrypt等机构颁发的DV证书，它们提供了与付费DV证书相同的基础加密强度。主要区别在于免费证书有效期较短（通常90天），需要频繁续订，且一般只提供基础的技术支持。
付費證書就提供更廣泛嘅選擇，包括OV同EV驗證級別，提供更高嘅信任展示同品牌保障。付費服務通常包埋金額唔等嘅保修金，用喺證書加密失敗搞到用戶有損失嗰陣提供賠償，同埋跟埋專業嘅技術支援同更長嘅有效期選項，適合商業用途。
部署SSL證書會影響網站速度嗎？
喺握手階段會有少少延遲，因為要建立加密連接。但係呢種影響通常係以毫秒計，而且現代硬件同TLS優化技術已經將佢減到最低。更重要嘅係，啟用HTTPS之後可以支援HTTP/2協議，呢個協議能夠顯著提升頁面加載速度，佢帶嚟嘅性能收益遠遠超過握手階段嘅少少開銷。
因此，整體嚟講，部署SSL證書對用戶體驗係性能嘅正向優化，而唔係拖累。冇加密嘅網站喺現代網絡環境中已經被視為唔安全，而且可能會受到瀏覽器嘅功能限制。
點解有啲HTTPS網站仍然會被瀏覽器標記為「唔安全」？
出現呢種情況有好多原因。最常見嘅係證書過期，或者頒發嘅域名同而家訪問嘅域名唔匹配。如果網站上包含透過HTTP協議加載嘅混合內容，瀏覽器亦都會顯示唔安全警告，因為咁樣會令部分通訊可以被竊聽。
此外，如果證書由唔受瀏覽器信任嘅機構頒發，或者服務器嘅SSL/TLS配置唔安全（例如用咗已經被破解嘅加密套件），都會觸發安全警告。解決呢啲問題需要檢查並確保證書有效、域名匹配，而且所有網站資源都透過HTTPS加載，同時確保服務器使用安全嘅加密配置。
下一步應該點做?
延伸閱讀及實用知識
以下內容與本文主題相關,適合進一步閱讀。一般而言,最好由與你目前問題最緊密相關的文章開始,然後逐步擴展到周邊主題。