喺而家嘅互聯網世界，當你瀏覽一個網站嗰陣，瀏覽器網址欄隔離出現嗰把鎖仔圖案，就係安全同信任嘅直觀象徵。呢個背後正係SSL證書默默發揮緊關鍵作用。佢係一種數碼證書，遵循SSL/TLS協議，用嚟喺客戶端（例如瀏覽器）同伺服器（例如網站）之間建立一條加密通道。佢嘅核心功能係實現數據加密傳輸同伺服器身份驗證，確保用戶提交嘅密碼、信用卡號碼等敏感資料喺傳輸過程唔會被竊取或者篡改，同時向訪客證明呢個網站係真實可信嘅實體，而唔係釣魚網站。
SSL/TLS協議嘅工作原理
SSL證書嘅運作依賴一套精密嘅密碼學握手協議，呢個過程喺用戶點擊連結之後嘅毫秒內完成。
握手過程詳細解釋
當客戶端嘗試連接一個啟用咗HTTPS嘅伺服器嗰陣，雙方會啟動一次「TLS握手」。首先，客戶端會向伺服器發送「Client Hello」訊息，包含佢支援嘅TLS版本、加密套件清單同一個隨機數。伺服器會回應「Server Hello」訊息，揀選雙方都支援嘅TLS版本同加密套件，並發送自己嘅隨機數。跟住，伺服器會將佢嘅SSL證書發送畀客戶端。證書入面包含咗至關重要嘅公鑰。
推薦閱讀 SSL證書係保障網站數據傳輸安全嘅核心技術，通過喺客戶端（如。
身份驗證與密鑰交換
客戶端（通常係瀏覽器）收到證書之後，會執行一連串嚴格嘅驗證：檢查證書係咪由可信嘅證書頒發機構簽發、係咪喺有效期內、證書入面嘅域名係咪同正在瀏覽嘅網站一致等等。驗證通過之後，客戶端就會信任呢個伺服器嘅身份。之後，客戶端會產生一個預主密鑰，並用伺服器證書入面嘅公鑰進行加密，再發送畀伺服器。只有擁有對應私鑰嘅伺服器先至可以解密攞到呢個預主密鑰。
加密通訊嘅建立
呢個時候，客戶端同伺服器會利用兩個隨機數同預主密鑰，獨立生成相同嘅會話密鑰。之後所有應用層數據（例如HTTP請求同回應）都會用呢個對稱會話密鑰進行加密同解密。對稱加密效率遠高於非對稱加密，呢個正係握手協議嘅精妙之處：利用非對稱加密安全噉交換密鑰，再用對稱加密進行高效嘅數據傳輸。
SSL證書嘅主要類型
根據驗證級別同功能嘅唔同，SSL證書主要分為以下幾類，以滿足唔同場景嘅安全同信任需求。
域名驗證證書
DV證書係頒發速度最快、成本最低嘅證書類型。證書頒發機構只會驗證申請者對域名嘅控制權，例如透過向域名WHOIS電郵地址發送驗證郵件，或者喺域名解析度加入特定嘅TXT記錄。DV證書能夠提供基本嘅加密功能，但唔會顯示企業名稱資料。佢非常適合個人網站、網誌或者測試環境。
機構驗證證書
OV證書提供更高級別嘅信任。CA唔單止會驗證域名擁有權，仲會對申請組織嘅真實性同合法性進行人手核查，例如檢查公司嘅工商註冊資料。所以，OV證書入面包含咗經過驗證嘅企業名稱資料。當用戶查看證書詳細資料嗰陣，可以睇到呢個網站所屬嘅公司，呢樣嘢顯著增強咗企業網站嘅可靠度，適用於商業網站同企業門戶。
推薦閱讀 SSL證書係咩同點解網站安全必須要有佢。
擴展驗證證書
EV證書係驗證最嚴格、安全等級最高嘅證書。其簽發過程最為嚴謹，CA會對組織進行全面嘅線下審查。最顯著嘅特點係，啟用EV證書嘅網站，喺大部分瀏覽器中，地址欄唔單止會顯示鎖形圖標，仲會直接呈現綠色嘅公司名稱，畀用戶最高級別嘅視覺信任提示。佢通常俾金融機構、大型電商平台等對安全信譽要求極高嘅機構採用。
多域名同通配符證書
除咗驗證級別，證書喺覆蓋域名數量上都有區分。多域名證書容許喺一張證書中保護多個完全唔同嘅域名。通配符證書就能夠保護一個主域名同埋其所有同級子域名，例如 *.example.com 可以保護 blog.example.com、shop.example.com 等，為擁有多個子域名嘅架構提供咗靈活且經濟嘅解決方案。
點樣申請同部署SSL證書
為網站部署SSL證書係一個系統性嘅過程，從生成密鑰對到最終配置，每一步都至關重要。
證書申請流程
首先，喺你嘅Web伺服器度生成一個私鑰同證書簽名請求。CSR係一個包含你公鑰同公司資料嘅文字檔。生成CSR嗰陣，一定要確保資料準確，尤其係通用名稱，必須同你要保護嘅主域名完全一致。然後，向選定嘅證書頒發機構提交CSR同所需嘅驗證材料。根據申請嘅證書類型，跟返CA嘅指引完成域名或者組織驗證。驗證通過之後，你就會從CA收到簽發嘅SSL證書檔案。
伺服器安裝同設定
收到證書檔案之後，需要將佢同之前生成嘅私鑰一齊部署到Web伺服器。以常見嘅Apache同Nginx為例：喺Apache上面，你需要設定 SSLCertificateFile 同埋 SSLCertificateKeyFile 指令；喺Nginx上，就需要配置 ssl_certificate 同埋 ssl_certificate_key 指令。設定完成之後，重啟Web服務等更改生效。到時，你嘅網站就應該可以透過HTTPS存取。
實施強制HTTPS跳轉
淨係安裝證書係唔夠嘅，必須確保所有流量都使用安全嘅HTTPS連接。呢個需要通過伺服器配置，將所有嘅HTTP請求重新導向到HTTPS。例如，喺Nginx入面，可以為80端口設置一個獨立嘅server塊，使用 return 301 https://$host$request_uri; 指令進行跳轉。咁樣可以有效防止用戶因為打錯而用唔安全嘅連接。
推薦閱讀 全方位解析SSL證書：原理、類型、申請同部署指南。
證書監控同續期管理
SSL證書有有效期，通常係一年。證書過期會令網站無法訪問，並且出現安全警告，嚴重影響用戶體驗同品牌信譽。所以，建立一個可靠嘅證書監控同續訂流程非常重要。可以設置日曆提醒，或者使用證書監控工具進行自動告警。建議喺證書到期前至少一個月啟動續訂流程，以確保無縫銜接。
摘要
SSL證書已經從一項可選嘅安全增強措施，演變為現代網站不可或缺嘅基礎設施。佢通過加密同身份認證兩大核心功能，構建咗網絡信任嘅基石。理解佢嘅工作原理有助於我哋認識到安全連接背後嘅複雜性；根據需求揀選合適嘅證書類型，就可以喺安全同成本之間取得最佳平衡；而規範嘅申請、部署同管理流程，係確保安全防護持續有效嘅關鍵。喺日益嚴峻嘅網絡安全形勢下，正確部署同維護SSL證書，係每個網站運營者對自己同用戶應盡嘅責任。
常見問題
網站冇交易功能，係咪仲需要SSL證書？
絕對需要。唔單止係為咗加密，而家啲搜索引擎好似Google咁，明確將HTTPS當做搜索排名嘅正面因素。主流瀏覽器會將非HTTPS網站標記為「唔安全」，咁會好大影響用戶訪問意願同品牌形象。另外，就算係登入、提交表格呢啲操作，都涉及用戶私隱數據，一定要加密保護。
HTTPS網站加載速度會唔會比HTTP慢？
早期可能因為握手過程有少少延遲，但隨住TLS 1.3協議普及同硬件性能提升，呢種差異已經好細。TLS 1.3將握手過程由兩次往返減少到一次，明顯提升咗速度。更重要嘅係，HTTP/2協議必須基於HTTPS先可以啟用，而HTTP/2嘅多路復用等技術能夠極大提升頁面加載性能，整體嚟睇，HTTPS網站往往仲快啲。
免費嘅SSL證書同收費嘅有咩分別？
免费证书（如Let‘s Encrypt颁发的）通常是DV类型，提供了与付费DV证书相同强度的加密，适合个人和小型项目。主要区别在于：免费证书有效期较短，需要频繁续期；缺乏技术支持服务；不提供身份验证保险。付费的OV、EV证书则提供更严格的身份验证、更长的有效期、专业技术支持以及数额不等的保修金，更适合商业实体。
部署咗SSL證書之後，網站顯示「不安全」警告點算好？
呢個通常表示網站入面仲有HTTP資源混雜咗。瀏覽器會阻止載入或者警告嗰啲透過HTTP協議載入嘅腳本、樣式表、圖片等「混合內容」。你需要檢查網站源代碼，將所有資源嘅引用連結（例如圖片src、腳本src）由「http://」改做「https://」或者用協議相對連結「//」。瀏覽器嘅開發者工具控制台通常會明確指出唔安全嘅資源連結。
下一步應該點做?
延伸閱讀及實用知識
以下內容與本文主題相關,適合進一步閱讀。一般而言,最好由與你目前問題最緊密相關的文章開始,然後逐步擴展到周邊主題。