當我哋訪問一個安全網站嗰陣，瀏覽器地址欄會顯示一個鎖形圖標，同埋有「HTTPS」前綴。呢個安全與信任嘅視覺標誌背後，核心嘅基石就係SSL/TLS證書。佢係一種數碼證書，用喺互聯網通訊中驗證網站身份同加密數據傳輸，係構建HTTPS協議嘅基礎。
SSL/TLS證書嘅核心概念
SSL證書，準確啲講，係遵循SSL同埋佢嘅後繼者TLS協議標準嘅數碼證書。佢扮演住網絡世界入面「電子身份證」嘅角色，將一個實體（通常係網站伺服器）嘅身份資訊同佢嘅公鑰進行綁定。
證書嘅基本組成
一份標準嘅SSL證書包含幾個關鍵部分。最核心嘅係網站嘅公鑰，呢個係用嚟加密信息嘅非對稱密鑰嘅一半。同時，證書包含咗網站嘅詳細資料，好似域名（通用名）、組織名稱、簽發機構等資料。所有呢啲資料都由一個受信任嘅第三方——證書頒發機構（CA）用佢哋嘅私鑰進行數碼簽名，以確保證書嘅真實同完整性。
推薦閱讀 SSL證書終極指南：從入門到精通，全面保障網站安全。
信任鏈嘅建立
成個信任體系依賴於一個預裝喺操作系統同瀏覽器入面嘅「根證書庫」。當用戶訪問一個部署咗SSL證書嘅網站時，瀏覽器會檢查呢個證書係咪由可信嘅根證書簽發或者由佢下級嘅中間證書簽發。呢個過程會驗證出一條從網站證書到可信根證書嘅完整「信任鏈」，從而建立用戶對網站身份嘅信任。
SSL證書喺HTTPS協議中嘅工作原理
HTTPS並非一個全新嘅協議，佢實質上係HTTP協議喺SSL/TLS協議層之上嘅封裝。SSL證書喺當中發揮咗啟動安全會話、身份驗證同密鑰協商嘅關鍵作用。
TLS握手流程詳解
當客戶端（瀏覽器）首次連接到HTTPS伺服器時，雙方會進行一次稱為「TLS握手」嘅複雜協商。首先，客戶端會發起一個「ClientHello」訊息，聲明其支援嘅加密組合同TLS版本。伺服器回應「ServerHello」，選定加密參數，並緊接住將其SSL證書傳送畀客戶端。客戶端收到證書後，執行前述嘅信任鏈驗證。驗證通過後，客戶端會生成一個用於後續對稱加密嘅「預主密鑰」，並用伺服器證書中嘅公鑰加密佢，傳送畀伺服器。只有擁有對應私鑰嘅伺服器先至能夠解密此訊息，從而雙方得到相同嘅會話密鑰，握手完成。
對稱加密與安全傳輸
握手成功後，雙方將使用協商出嘅會話密鑰進行對稱加密通訊。對稱加密演算法（例如AES）喺加解密大量數據時效率遠高於非對稱加密。安全通道建立後，所有嘅HTTP請求同響應數據都喺此加密隧道中傳輸，有效防止咗竊聽同篡改。
SSL證書嘅主要類型同選擇
根據驗證級別同覆蓋域名嘅唔同，SSL證書主要分為三大類，以滿足唔同場景嘅需求同安全要求。
推薦閱讀 SSL證書：保障網站安全同信任嘅加密技術詳解。
DV、OV 同 EV 證書嘅分別
域名驗證（DV）證書係最基礎嘅類型，CA只會驗證申請者對域名嘅控制權（例如通過DNS解析驗證）。簽發速度快，成本低，適用於個人網站或者網誌。組織驗證（OV）證書喺DV基礎上，增加咗對申請組織法律實體真實性嘅審核，證書入面會包含組織名稱，適合企業官網。擴展驗證（EV）證書嘅審核最為嚴格，遵循國際標準對組織進行全面嘅線下核查。部署EV證書嘅網站喺瀏覽器地址欄會顯示綠色嘅公司名稱，提供最高級別嘅視覺信任。
單域名、多域名同通配符證書
根據覆蓋嘅域名範圍，證書亦分為唔同類型。單域名證書只保護一個特定嘅域名。多域名證書允許喺一張證書入面添加多個唔同嘅域名。通配符證書就能夠保護一個主域名同埋佢所有同級嘅子域名，例如 *.example.com 可以保護 blog.example.com 同埋 shop.example.com，對於擁有大量子域名嘅組織管理起嚟非常方便。
部署、管理同最佳實踐
成功攞到證書之後，正確嘅部署同持續管理好緊要，否則安全防線就會出現缺口。
申請同安裝流程
申請SSL證書通常由生成證書簽名請求（CSR）開始，喺伺服器度生成一對公私鑰，然後將包含公鑰同組織資料嘅CSR提交畀CA。CA審核通過之後，就會簽發證書檔案。管理員需要將證書檔案、私鑰檔案同可能嘅中間證書鏈檔案正確配置到Web伺服器軟件入面。
重要嘅維護工作
SSL證書有明確嘅有效期，目前主流CA簽發嘅證書最長有效期係398日。管理員必須監控證書嘅到期時間並及時續期，否則過期嘅證書會導致網站無法訪問。同時，應該積極回應CA嘅吊銷請求，如果私鑰唔小心洩露，必須立即吊銷舊證書並重新簽發。另外，要確保伺服器設定停用唔安全嘅舊協議（例如SSL 2.0/3.0）同弱加密套件，強制使用TLS 1.2或更高版本。
摘要
SSL證書係HTTPS安全通訊嘅基石，佢透過數碼簽名同公鑰基礎設施（PKI）體系，喺虛擬嘅網絡世界建立咗可靠嘅信任錨點。佢唔單止實現咗對網站伺服器身份嘅強驗證，更重要嘅係透過加密機制，為數據喺傳輸過程中提供咗機密性、完整性嘅保障。無論係個人網站定係大型金融平台，根據自身需求揀選合適嘅SSL證書並正確部署同維護，係構建安全網絡環境不可或缺嘅第一步。喺當今數據私隱日益受到重視嘅時代，部署SSL證書已經成為網站營運者嘅基本責任。
推薦閱讀 理解SSL證書：從入門到精通，保障網站安全。
常見問題
SSL證書同TLS證書係咪同一樣嘢？
係嘅，喺目前嘅語境下，我哋通常所講嘅「SSL證書」實際上係指基於TLS協議運行嘅證書。SSL係TLS嘅前身，由於歷史原因，「SSL」呢個名稱被更廣泛認知同沿用，但現代嘅安全連接使用嘅都係TLS協議。
免費嘅SSL證書同收費嘅有咩分別？
免费证书（如Let‘s Encrypt签发）通常是DV类型的证书，提供了与付费DV证书相同级别的加密强度。主要区别在于服务支持、保险金额和验证类型。付费证书通常提供技术支持和责任保险。OV和EV证书则必须付费，因为它们涉及更严格的人工审核流程，能提供更强的身份验证。
安裝咗SSL證書就絕對安全㗎啦？
唔係。SSL證書主要保障嘅係數據傳輸過程（即通訊鏈路）嘅安全，防止數據喺傳輸過程中被竊聽或篡改。佢並不能防止網站伺服器本身被黑客入侵、不能防護網站應用層嘅漏洞（例如SQL注入、跨站腳本等），亦不能阻止網絡釣魚攻擊。網站安全係一個系統工程，SSL證書係其中至關重要嘅一環，但唔係全部。
點樣檢查我個網站嘅SSL證書係咪正確安裝咗？
有好多網上工具可以免費檢測。你可以用呢啲工具掃描你個網站域名，佢哋會詳細列出證書資料、信任鏈完整性、支援嘅協議版本、加密套件強度同埋可能存在嘅配置問題。另外，直接喺主流瀏覽器度訪問你個網站，撳地址欄個鎖頭圖標睇證書詳情，都係一個快速嘅驗證方法。
下一步應該點做?
延伸閱讀及實用知識
以下內容與本文主題相關,適合進一步閱讀。一般而言,最好由與你目前問題最緊密相關的文章開始,然後逐步擴展到周邊主題。