喺而家嘅互聯網世界，網站安全係建立用戶信任嘅基石。當你喺瀏覽器地址欄見到嗰個細細嘅鎖形圖標，或者網址以「https」開頭嘅時候，就代表該網站已經用咗SSL證書。呢個唔單止係一個安全標識，更加係對用戶數據私隱嘅有力保障。佢嘅核心功能係建立一條加密嘅通道，確保喺用戶設備同網站伺服器之間傳輸嘅所有資訊——無論係登入憑證、信用卡號碼定係私人訊息——都冇辦法俾第三方偷睇或者篡改，從而建立起安全嘅通訊環境。
SSL證書嘅工作原理
SSL/TLS協議嘅核心目標係實現安全通訊，佢嘅工作原理融合咗非對稱加密、對稱加密同數字證書驗證三大關鍵技術，確保咗數據喺傳輸過程當中嘅機密性、完整性同身份真實性。
推薦閱讀 SSL證書終極指南：類型、選購同安裝部署全解析。
非對稱加密同密鑰交換
握手過程嘅起始依賴於非對稱加密算法，常見嘅好似RSA或者ECDSA。伺服器持有由公鑰同私鑰組成嘅密鑰對。喺握手初期，伺服器會將包含其公鑰嘅SSL證書傳送俾客戶端（瀏覽器）。客戶端會用呢個公鑰加密一個隨機生成嘅「預主密鑰」，然後傳返俾伺服器。只有擁有對應私鑰嘅伺服器先至可以解密呢個資訊，咁樣雙方就獲得咗相同嘅「預主密鑰」。呢個過程嘅本質係安全地交換一個用於後續通訊嘅共享秘密。
對稱加密保障傳輸效率
一旦雙方安全地交換咗「預主密鑰」，佢哋會用特定嘅演算法（例如基於「預主密鑰」同握手過程中交換嘅隨機數）衍生出相同嘅「會話密鑰」。之後所有應用層數據傳輸就會轉用對稱加密演算法（例如AES）同呢個「會話密鑰」嚟加密同解密。對稱加密嘅加解密速度快，明顯提升咗數據傳輸效率，適合大量數據嘅實時加密。
證書驗證確保身份可信
喺整個握手過程中，身份驗證係防止中間人攻擊嘅關鍵。客戶端（瀏覽器）收到伺服器嘅證書之後，並唔係無條件信任。佢會執行一系列嚴格嘅驗證：
1. 检查证书的有效期，确保证书在有效期内。
2. 验证证书的数字签名。证书由受信任的证书颁发机构签发，客户端使用CA内置在浏览器或操作系统中的根证书公钥，来验证服务器证书签名的有效性。这形成了一个信任链，确保证书是由可信的CA颁发的。
3. 检查证书中的“通用名称”或“使用者备用名称”字段是否与正在访问的网站域名完全匹配。
只有通過所有驗證，連接先會被建立，地址欄嘅安全鎖先會出現。
推薦閱讀 SSL證書詳解：從原理到部署，全面保障網站安全。
## SSL證書嘅主要類型
根據安全驗證等級同覆蓋嘅域名數量，SSL 證書主要分為以下幾種類型，以滿足唔同場景嘅需求。
域名驗證型證書
DV 證書係獲取最為快捷同經濟嘅一種證書。CA 僅驗證申請者對域名嘅控制權，通常透過向域名註冊電郵發送驗證郵件，或者喺域名 DNS 記錄中加入特定 TXT 記錄嚟完成。由於唔驗證組織身份，佢只能提供基礎加密，適合個人網站、博客或者內部測試環境。
機構驗證型證書
OV 證書喺 DV 證書嘅基礎上，增加咗對申請組織（例如公司、政府機構）真實性同合法性嘅嚴格審核。CA 會核查企業嘅工商註冊信息、電話號碼等。審核通過後，證書詳情中會包含組織嘅名稱信息。佢比 DV 證書提供更高程度嘅信任，適合企業官網、電子商務平台等需要展示可信身份嘅網站。
推薦閱讀 SSL證書係乜嘢？原理、類型同安裝配置全解析。
擴展驗證型證書
EV 證書係驗證級別最嚴格、信任度最高嘅證書類型。除咗完成 OV 級別嘅所有組織驗證外，CA 仲會進行更深入嘅人工審核，確保申請實體喺法律同物理上真實存在。瀏覽器對部署咗 EV SSL 證書嘅網站，會喺地址欄明確顯示綠色嘅公司名稱，呢個係最高級別安全同信譽嘅標誌，通常被金融機構、大型電商平台所採用。
多域名同通配符證書
除咗驗證等級，證書仲可以根據覆蓋域名數量分類。多域名證書容許喺一張證書入面保護多個完全唔同嘅域名。通配符證書就能夠保護一個主域名同埋佢所有同級子域名，例如 `*.example.com` 可以保護 `www.example.com`, `mail.example.com`, `shop.example.com` 等，為擁有多個子域名嘅組織提供咗靈活而且經濟嘅解決方案。
## 點樣選擇同購買SSL證書
面對市場上琳瑯滿目嘅SSL證書產品，要做出明智嘅選擇需要綜合考慮網站性質、業務需求同埋預算。
首先，根據網站類型確定驗證等級。個人博客或者非商業展示網站，選擇DV證書就得。對於處理用戶登錄、展示企業形象嘅中小企業官網，OV證書係更合適嘅選擇，佢能夠喺證書詳情入面展示企業資訊。涉及網上交易、金融服務嘅網站，強烈推薦使用EV證書，以最高級別嘅信任標識獲取用戶信心。
推薦閱讀 詳解SSL證書：由原理到部署，全面保障網站資料傳輸安全。
其次，評估域名覆蓋需求。如果只有一個主域名，單域名證書就得。如果有一個主域同多個固定嘅其他域名（例如唔同嘅品牌站），多域名證書管理上會更方便。如果擁有一個主域同大量動態嘅子域名，咁通配符證書就最慳錢同最靈活。
揀選證書頒發機構嗰陣，應該優先揀全球或者國內出名嘅CA，好似 DigiCert, Sectigo, GlobalSign 或者國內嘅CFCA、信安世紀等等。呢啲CA嘅根證書已經廣泛預設喺各種瀏覽器同操作系統入面，兼容性會更加好。同時需要比較價錢、售後服務、賠償保障（例如萬一因為證書問題引致安全事故，CA提供嘅賠償金額）等因素。
## SSL證書嘅安裝同部署流程
成功攞到證書檔案之後，需要將佢哋正確部署到網站伺服器上面。主要流程包括生成密鑰對、提交證書請求、安裝證書同強制HTTPS跳轉。
生成私鑰同證書請求
首先喺伺服器上面用工具生成一個強加密嘅私鑰檔案。然後，用呢個私鑰生成一個證書簽名請求檔案。CSR檔案入面包含咗你嘅組織資料同即將被簽發嘅域名，呢個係提交畀CA進行審核同簽發嘅基礎。
提交CSR同CA驗證
將生成嘅CSR檔案內容提交畀你買嘅CA。根據你揀嘅證書類型，CA會啟動相應嘅驗證流程。對於DV證書，只需要完成域名控制權驗證；對於OV/EV證書，就要跟CA要求提供組織證明檔案供人手審核。
安裝證書到伺服器
待CA審核通過後，你將會收到頒發嘅證書文件。通常包括一個主要證書文件同一個或多個中間CA證書。根據你嘅伺服器類型，將證書文件、私鑰文件同中間鏈證書上傳到伺服器嘅指定目錄，並喺伺服器配置文件中正確指定呢啲文件嘅路徑。常見嘅伺服器軟件配置各有不同。
配置HTTP到HTTPS重新導向
證書安裝完成後，為咗確保所有流量都通過安全連接，並有利於SEO，必須強制將所有嘅HTTP請求重新導向到HTTPS。呢樣通常通過喺網頁伺服器配置中加改寫規則嚟實現。
最後，務必使用線上嘅SSL檢測工具對配置好嘅HTTPS網站進行全面檢查，確保證書鏈完整、協議版本安全、密碼套件配置妥當，冇已知嘅安全漏洞。
## 总结
SSL證書已經由一項可選嘅安全增強措施，演變成為現代網站不可或缺嘅基礎設施。佢透過加密同身份驗證兩大核心功能，守護住網絡數據傳輸嘅私隱同完整，係建立用戶信任、提升品牌專業形象、滿足合規要求嘅關鍵。從理解佢背後嘅加密原理，到根據自身需求揀合適類型嘅證書，再到正確地安裝同配置，掌握SSL證書嘅完整知識鏈，對於任何網站擁有者、開發者同運維人員都至關重要。擁抱HTTPS，唔單止係擁抱安全，更加係擁抱一個更可信賴嘅互聯網未來。
常見問題
SSL證書同TLS證書係咪同一樣嘢？
係呀，我哋而家通常所講嘅「SSL證書」喺技術上大多係指基於更新、更安全嘅TLS協議嘅證書。由於SSL係佢前身而且個名更加為人熟悉，行業習慣上仍然沿用「SSL證書」來統稱呢類用於實現HTTPS嘅安全證書。
免費嘅SSL證書同付費嘅證書有咩分別？
免费证书通常指Let‘s Encrypt等机构颁发的DV证书，其提供了与付费DV证书相同的基础加密功能。主要区别在于：免费证书有效期短，需要频繁续期；缺乏商业保险赔付；在技术支持和服务上较为有限。付费的OV/EV证书则提供组织身份验证、更长的有效期、专业的技术支持和高额的保障赔付。
安裝SSL證書會唔會影響網站速度？
啟用HTTPS加密連接確實會引入額外嘅計算開銷，主要發生喺建立連接嘅TLS握手階段。然而，隨住現代伺服器硬件性能嘅提升同TLS協議嘅優化，呢種影響已經微乎其微。相反，啟用HTTPS可以啟用HTTP/2等現代網絡協議，後者能夠顯著提升頁面加載速度，佢帶來嘅性能收益通常遠遠超過加密帶來嘅微小開銷。
一張SSL證書可以用喺多部伺服器度嗎？
可以，但係有一定嘅條件同技術要求。你可以將同一份證書同私鑰部署喺多部伺服器上面，前提係呢啲伺服器都係為同一個證書所保護嘅域名提供服務。呢個通常用喺負載平衡集群或者主備伺服器環境。需要留意嘅係，必須妥善保管私鑰，私鑰嘅洩露會危及所有使用該證書嘅伺服器嘅安全。
瀏覽器顯示「連線不安全」警告可能係咩原因？
呢個表示網站嘅HTTPS連接存在問題。常見原因包括：證書已經過期；證書嘅簽發機構唔被瀏覽器信任；證書上面嘅域名同目前訪問嘅網站域名唔匹配；網站頁面中混合加載咗HTTP協議嘅唔安全資源；或者伺服器嘅SSL/TLS配置存在安全漏洞。需要根據瀏覽器嘅具體錯誤提示進行排查。
下一步應該點做?
延伸閱讀及實用知識
以下內容與本文主題相關,適合進一步閱讀。一般而言,最好由與你目前問題最緊密相關的文章開始,然後逐步擴展到周邊主題。