喺而家嘅互聯網通訊入面，SSL/TLS證書扮演住加密通道同安全身份驗證嘅關鍵角色。當你喺瀏覽器地址欄度見到嗰個綠色鎖形圖標嘅時候，就代表緊你同網站之間嘅連線正受到佢嘅保護。從本質上講，SSL證書係一份數碼檔案，佢遵循X.509標準，包含咗網站嘅公鑰、網站身份資訊、證書簽發機構資訊同埋數碼簽名。
呢個證書嘅核心係執行一次叫做「SSL/TLS握手」嘅複雜過程。喺呢個過程入面，伺服器會向瀏覽器出示證書，瀏覽器就會對佢進行驗證。一旦驗證成功，雙方就可以利用證書入面嘅公鑰建立一個共享嘅、對稱嘅會話密鑰。跟住，所有喺瀏覽器同伺服器之間傳輸嘅數據都會俾呢個密鑰快速加密同解密，從而有效防止咗數據喺傳輸過程中被竊聽或者篡改。
佢嘅重要性唔使多講。首先，佢實現咗數據加密，確保登入憑證、支付資訊、個人通訊等等敏感數據以密文形式傳播，就算被截獲都冇咁易解讀。其次，佢進行咗身份認證，向訪客證明佢哋所連接嘅係真實、合法嘅網站，而唔係釣魚網站。最後，佢為網站贏取咗信任感，係提升用戶信心同專業形象嘅關鍵要素，同時對於提升搜尋引擎排名都有積極作用。
推薦閱讀 SSL證書係咩？點樣申請、安裝同常見問題終極指南。
SSL證書嘅核心組成部分
一份標準嘅SSL證書包含咗多個結構化嘅欄位，呢啲資訊一齊構成網站嘅數碼身份證。
主體同簽發者資訊
證書會清晰標明「主體」資訊，即係證書持有人嘅身份，通常包括網站嘅通用名稱，呢個就係證書保護嘅主域名。另外，亦可能包含組織名稱、所在地等詳細資訊，視乎證書類型而定。
同時，證書亦包含咗「簽發者」資訊，即係頒發呢張證書嘅認證機構。瀏覽器同裝置內置咗信任呢啲CA嘅根證書，正係基於呢份信任鏈，最終嘅網站證書先至被認可。
公鑰同有效期
公鑰係非對稱加密嘅核心。當瀏覽器連接到伺服器時，伺服器會發送證書，瀏覽器會提取入面嘅公鑰，用佢嚟加密一個生成嘅「預主密鑰」，然後發返俾伺服器。只有持有對應私鑰嘅伺服器先可以解密佢，咁樣就確保咗密鑰交換嘅安全。
每份證書都有明確嘅生效日期同失效日期，咁樣強制執行證書續期同輪換機制，確保安全策略持續有效。一旦證書過期，瀏覽器就會發出嚴重警告，提示連接唔安全。
推薦閱讀 SSL證書係咩？完整指南：從工作原理到購買配置詳解。
數字簽名與擴展字段
呢個係證書防偽嘅關鍵。CA喺頒發證書嗰陣，會用自己嘅私鑰對成個證書內容生成一個唯一嘅數字簽名。瀏覽器驗證時，用該CA內置嘅公鑰解密並校驗呢個簽名。如果簽名無效，就證明證書內容喺頒發之後被篡改過，驗證會即刻失敗。
除此之外，證書亦可能包含擴展字段，用於定義證書嘅用途、支援邊啲域名、係咪容許簽發下級證書等增強功能。
證書嘅詳細頒發流程
SSL證書並非自動生成，而係需要經過一個嚴謹嘅申請、驗證同頒發流程。
第一步：生成CSR同私鑰
流程由網站伺服器端開始，管理員用工具產生一對密鑰，呢對密鑰包含一個必須嚴格保密嘅私鑰同一個會包含喺證書入面嘅公鑰。同時，工具會創建一個證書簽名請求檔案。
CSR檔案包含咗你嘅公鑰、你填寫嘅公司資料同域名資料。呢個CSR檔案會提交畀CA，但入面唔包含私鑰，所以私鑰嘅安全一直由你自己掌控。
第二步：向CA提交申請同驗證
你將CSR提交畀你揀嘅證書頒發機構，同揀所需嘅證書類型。唔同類型嘅證書要求唔同嚴格程度嘅驗證。
推薦閱讀 SSL證書係咩？從原理到選購安裝嘅終極指南。
驗證係頒發程序中最關鍵嘅一環。對於OV同EV證書，CA會嚴格審查申請者嘅企業註冊資料、電話號碼等，甚至可能要求提供法律文件。對於最基本嘅DV證書，驗證就相對簡單，通常只需要證明你對申請域名有控制權。最常見嘅方法係喺域名解析度設定一條指定嘅TXT記錄，或者向該域名嘅特定管理電郵地址發送驗證電郵。
第三步：CA簽發同部署
一通過驗證，CA就會用自己嘅根證書私鑰對你提交嘅CSR資料進行簽名，生成最終嘅SSL證書檔案。你會收到呢份證書。
最後，你需要將收到嘅證書檔案同之前自己生成嘅私鑰檔案一齊部署到Web伺服器上，並且正確配置服務以啟用HTTPS。
SSL/TLS握手同驗證機制
當用戶訪問一個HTTPS網站時，一次安全連接喺後台靜靜雞建立，呢個過程就係SSL/TLS握手，其中證書驗證係核心環節。
握手過程嘅四個關鍵階段
首先係「客戶端Hello」，瀏覽器向伺服器傳送支援嘅加密套件列表同一個隨機數。
跟住係「伺服器Hello」，伺服器揀一套加密演算法，連同自己嘅SSL證書同另一個隨機數，一齊傳送畀瀏覽器。
然後進入關鍵嘅「證書驗證與密鑰交換」階段。瀏覽器收到證書之後，啟動一套完整嘅驗證流程。驗證通過之後，瀏覽器生成第三個隨機數，即係「預主密鑰」，用證書入面嘅公鑰加密之後發俾伺服器。伺服器用私鑰解密，攞到預主密鑰。
最後係「生成會話密鑰並完成握手」。呢個時候，客戶端同伺服器都擁有相同嘅三個隨機數，佢哋用約定嘅算法，獨立生成相同嘅對稱「會話密鑰」。之後嘅通訊就會用呢個會話密鑰進行高速嘅對稱加密。
瀏覽器驗證證書嘅四個步驟
瀏覽器嘅驗證係一個多層次、鏈式嘅過程。第一步係驗證證書係咪過期或者未生效。
第二步係檢查證書嘅發行者係咪喺瀏覽器或者操作系統嘅「根證書信任庫」入面。如果發行者本身唔受信任，佢簽發嘅任何證書都唔會被接受。
第三步係驗證證書嘅數碼簽名。瀏覽器會用信任庫入面嗰個CA嘅公鑰去解密證書簽名，然後同自己計出嚟嘅證書信息摘要對比，確保張證書喺簽發之後冇俾人改過。
第四步係檢查證書入面嘅「通用名稱」或者「主體備用名稱」係咪同而家訪問緊嘅網站域名完全吻合。如果域名唔啱，瀏覽器就會彈警告出嚟。
唔同類型SSL證書嘅選擇
根據安全需求同驗證等級，SSL證書主要分為三類，以適應唔同嘅應用場景。
域名驗證證書
呢個係最基本、頒發速度最快嘅證書類型。CA只會驗證申請者對域名嘅控制權（透過DNS或者電郵），唔會驗證組織身份資料。所以證書入面只會顯示域名資料。佢適用於個人網站、網誌或者測試環境，能夠提供基本嘅加密功能，但係冇辦法向訪客證明企業實體身份。
機構驗證證書
呢類證書要求CA對申請者嘅組織合法性進行嚴格審查，包括核查政府註冊數據庫入面嘅企業資料。所以，OV證書嘅頒發週期需要幾個工作日。部署之後，證書詳情入面會包含經過驗證嘅企業名稱。佢適用於企業官網、會員登入系統等需要展示可信身份嘅商業網站，係性價比好高嘅商業選擇。
擴展驗證證書
呢個係驗證最嚴格、信任等級最高嘅證書。除咗完成OV級別嘅所有企業驗證，CA仲會進行更深入嘅人工審核，確保申請實體嘅合法性同真實性。部署EV證書嘅網站喺高版本瀏覽器入面會令地址欄變為綠色，並直接顯示公司名稱。呢個為銀行、金融、電商平台等需要極高信任度嘅網站提供咗最佳嘅用戶信心保障。
摘要
SSL證書作為網絡信任嘅基石，佢嘅價值遠遠唔止於加密數據。佢透過一套由認證機構背書嘅公鑰體系，將無形嘅「信任」轉化為有形嘅數字憑證，建立起一條由用戶到網站嘅安全同可信嘅通道。從佢核心嘅數據加密，到頒發流程中嘅嚴謹驗證，再到握手過程中瀏覽器嘅層層校驗，每一個環節都構成咗現代網絡安全嘅堅固防線。
理解證書嘅完整生命週期，有助於網站管理者做出正確嘅部署同維護決策，例如及時續期避免過期風險。而對於最終用戶嚟講，了解地址欄中「小鎖」背後嘅意義，亦能夠增強自身嘅安全意識，喺享受互聯網便利嘅同時，更好地保護個人私隱同數據安全。
常見問題
DV、OV、EV證書嘅主要區別係咩？
佢哋嘅主要區別在於驗證強度、所含信息以及展現嘅信任等級。DV證書只係驗證域名擁有權，驗證速度快，證書中唔會顯示機構名。OV證書驗證咗機構嘅真實合法存在，證書中包含公司信息。EV證書實施最嚴格嘅驗證，能夠令瀏覽器地址欄顯示公司名稱，提供最高級別嘅視覺信任標識。
SSL證書過咗期會有乜後果？
證書一過期，所有主流瀏覽器都會喺用戶訪問網站時顯示「不安全」嘅醒目警告，甚至可能阻止用戶繼續訪問。呢個會導致用戶體驗急劇下降，網站信用受損，仲可能直接造成訪問流量同業務收入嘅損失。所以，定期監控同及時續訂證書係至關重要嘅運維工作。
一個SSL證書可以用喺多個域名嗎？
係啊。除咗單域名證書，仲有多域名證書同通配符證書。多域名證書容許你喺一張證書入面保護多個完全唔同嘅域名。通配符證書就用一個星號通配符嚟保護一個主域名同埋佢所有同級嘅子域名，管理同擴展都好方便。
點解部署咗SSL證書之後，網站仲係顯示唔安全？
呢個可能由多個原因造成。最常見嘅係網頁入面混合加載咗HTTP協議嘅非安全資源，例如圖片、腳本或者樣式表。瀏覽器一發現HTTPS頁面入面引用咗HTTP內容，就會判定為唔安全。另外，證書鏈配置唔完整、證書同域名唔匹配或者用咗自簽名證書而未被瀏覽器信任，都可能導致呢個問題。需要檢查同確保所有資源連結都用HTTPS，而且證書安裝正確。
下一步應該點做?
延伸閱讀及實用知識
以下內容與本文主題相關,適合進一步閱讀。一般而言,最好由與你目前問題最緊密相關的文章開始,然後逐步擴展到周邊主題。