當你喺瀏覽器地址欄見到一把綠色嘅「鎖」或者「安全」標誌，同埋見到網址以「https」開頭嘅時候，呢啲背後正係SSL/TLS證書喺度默默守護緊你嘅網絡通訊安全。佢唔單止係網站可信身份嘅證明，更加係構築現代互聯網數據加密傳輸嘅基石。由個人網誌到金融交易平台，佢都喺度確保緊你同伺服器之間交換嘅資訊唔會被竊聽同篡改。
SSL/TLS證書嘅核心原理
SSL證書嘅工作機制係基於非對稱加密同對稱加密嘅巧妙結合，佢嘅核心目標係建立一個安全、加密嘅通訊通道，同埋驗證伺服器嘅真實身份。
非對稱加密建立信任
呢個過程始於「握手」。當你嘅瀏覽器（客戶端）訪問一個HTTPS網站嘅時候，伺服器會將佢嘅SSL證書發送畀瀏覽器。證書入面包含咗伺服器嘅公鑰同由證書頒發機構（CA）簽署嘅數位簽名。瀏覽器內置咗可信嘅根CA列表，佢會用對應嘅CA公鑰嚟驗證伺服器證書簽名嘅有效性。呢個過程確認咗「你訪問嘅網站確實係佢所聲稱嗰個實體」，而唔係一個冒名頂替嘅中間人。
推薦閱讀 SSL證書係咩？由類型到部署嘅完整指南。
對稱加密保障效率
身份驗證通過之後，瀏覽器會生成一個隨機嘅「會話密鑰」。呢個密鑰會用嚟加密後續實際嘅通訊數據。瀏覽器會用從證書度攞到嘅伺服器公鑰，對呢個會話密鑰進行加密，然後傳送俾伺服器。只有擁有對應私鑰嘅伺服器先至可以解密攞到呢個會話密鑰。之後，雙方就會用呢個相同嘅會話密鑰，採用更高效嘅對稱加密算法（例如AES）嚟加密同解密所有傳輸嘅數據。
數碼簽名確保完整
喺整個通訊過程當中，TLS協議仲會使用訊息認證碼（MAC）對傳輸嘅數據塊進行計算，接收方通過驗證MAC嚟確保數據喺傳輸過程中冇被篡改，保證咗訊息嘅完整性。
SSL證書嘅主要類型同選擇
並非所有SSL證書都一樣，根據驗證級別同覆蓋範圍，主要分為以下幾種類型，以應對唔同嘅業務場景同安全需求。
域名驗證型證書
DV證書係門檻最低、簽發速度最快嘅類型。CA只會驗證申請者對域名嘅擁有權（通常透過電郵或者DNS解析記錄驗證）。佢可以為通訊提供相同嘅加密強度，但唔會顯示機構嘅具體資料。所以，DV證書好適合個人網站、網誌或者測試環境，用嚟實現基礎嘅HTTPS加密。
機構驗證型證書
OV證書要求CA對申請機構嘅真實合法性進行嚴格嘅線下審查，包括核實公司註冊資料、電話等等。證書入面會包含經過驗證嘅公司名稱資料。當用戶撳瀏覽器地址欄嘅鎖標誌查看證書詳情嗰陣，能夠睇到明確嘅機構資料，呢樣嘢大大增強咗用戶嘅信任。OV證書係政府、企業官網同電商平台嘅理想選擇。
推薦閱讀 SSL證書終極指南：類型、安裝同優化全流程解析。
擴展驗證型證書
EV證書係目前驗證級別最高、最嚴格嘅類型。CA會執行最全面嘅審查，包括法律、實體同營運狀態嘅多重核實。最大嘅視覺區別係，喺支援EV證書嘅瀏覽器入面，啟用EV證書嘅網站地址欄會變為綠色，並直接顯示公司名稱。呢樣嘢令佢成為銀行、金融機構同大型電商等高安全要求網站嘅標誌性配置。
通配符同多域名證書
除咗驗證級別，仲有基於覆蓋範圍嘅分類。通配符證書用一個星號（*）嚟保護一個主域名同佢所有同級子域名，例如 *.example.com 可以保護 blog.example.com 同埋 shop.example.com，管理起嚟好方便。多域名證書就容許喺一張證書嘅「主題備用名稱」欄位度加多個完全唔同嘅域名，畀管理多個域名嘅企業提供靈活性。
點樣為網站攞同配置SSL證書
為你個網站啟用HTTPS需要一個明確嘅流程，由證書申請、驗證到最後嘅伺服器配置，每一步都好緊要。
證書申請同CA選擇
你可以直接从全球知名的CA（如DigiCert、Sectigo、Let's Encrypt）或其代理商处购买证书。申请时需生成一个证书签名请求文件，其中包含你的公钥和组织信息。近年来，由互联网安全研究小组推出的Let's Encrypt项目提供了免费的自动化DV证书，极大地推动了HTTPS的普及。选择CA时需考虑其浏览器兼容性、信任度、价格和支持服务。
域名擁有權驗�
CA必須確認你擁有申請嘅域名。驗證方式通常有三種：電子郵件驗證（向域名whois註冊電郵發送驗證郵件）、DNS記錄驗證（要求你在域名DNS解析度加一條特定嘅TXT記錄）、檔案驗證（喺網站根目錄放一個特定嘅驗證檔案）。完成驗證後，CA先會簽發證書。
伺服器安裝同設定
CA會提供包含伺服器證書、中間CA證書同私鑰（私鑰由你本地生成並妥善保管）嘅檔案包。你需要根據伺服器類型進行配置。例如，喺Nginx中，需要喺配置檔案度指定 ssl_certificate（證書鏈檔案）同 ssl_certificate_key（私鑰檔案）嘅路徑，並監聽443端口。喺Apache入面，就需要用 SSLCertificateFile 同埋 SSLCertificateKeyFile 指令。
推薦閱讀 SSL證書係咩嚟㗎？點解所有網站都需要佢？一文睇明。
強制HTTPS與混合內容處理
安裝證書之後，你應該將所有HTTP訪問重定向到HTTPS，確保用戶一直用安全連接。呢樣可以透過伺服器配置301重定向實現。同時，必須確保網頁入面載入嘅所有資源（圖片、腳本、樣式表）都用HTTPS URL，否則瀏覽器會顯示「混合內容」警告，降低安全性。
SSL證書嘅維護同最佳實踐
部署SSL證書唔係一勞永逸，持續嘅維護同管理係保證長期安全嘅關鍵。
證書生命周期管理
每個SSL證書都有明確嘅有效期，通常係398日（一年左右）。必須喺證書過期前進行續期同更換，否則網站會出現安全警告，導致用戶無法訪問。建議設置日曆提醒，或者用證書管理工具進行自動化監控同續期。自動化工具可以定期檢查證書狀態，並喺到期前自動完成續期流程。
使用強加密套件
喺伺服器設定入面，應該停用啲舊式同唔安全嘅加密協定同演算法。強烈建議停用SSL 2.0/3.0，優先使用TLS 1.2或者TLS 1.3協定。設定加密套件嗰陣，應該優先揀啲支援前向保密嘅套件，咁樣就算伺服器私鑰將來俾人破解，都冇辦法解密之前截獲嘅通訊數據。
實施HTTP安全標頭
除咗SSL/TLS設定之外，仲應該設定相關嘅HTTP安全回應標頭嚟加強安全性。Strict-Transport-Security 個標頭可以指示瀏覽器喺指定時間內強制使用HTTPS存取。Content-Security-Policy 頭可以有效防範跨站腳本攻擊。呢啲頭部同SSL證書相輔相承，一齊構建更強大嘅安全防線。
定期測試同監控
部署之後，應該用網上工具全面測試你嘅SSL配置。呢啲工具可以檢查證書嘅有效性、協議支援情況、加密套件強度同埋係咪容易受到已知漏洞嘅攻擊。定期進行呢類掃描，有助你及時發現同修復配置缺陷。
摘要
SSL/TLS證書絕對唔只係一個簡單嘅「安全鎖」圖標，佢係一個複雜而精妙嘅系統，融合密碼學、信任鏈同網絡協議。佢透過非對稱加密建立初始信任，透過對稱加密保障通訊效率，再透過CA嘅背書為網絡實體提供可信身份。由揀適合嘅證書類型，到正確咁申請、配置同長期維護，每一步都影響最終嘅安全效果。喺呢個數據私隱備受關注、網絡安全威脅無處不在嘅時代，正確理解同使用SSL證書，係所有網站擁有者、開發者同運維人員必須具備嘅一項基本技能。
常見問題
SSL證書同HTTPS有咩關係？
SSL/TLS證書係啟用HTTPS協議嘅必要條件。HTTPS可以理解為HTTP協議加上SSL/TLS加密層。證書負責喺連接初期進行伺服器身份認證同交換加密密鑰，從而建立起安全嘅HTTPS連接。冇有效嘅SSL證書，就冇辦法實現真正嘅HTTPS。
免費嘅SSL證書同收費嘅有咩分別？
主要区别在于验证级别、功能、保修和人工支持。像Let‘s Encrypt这样的免费证书提供DV验证，足以满足基础的加密需求。付费证书（OV/EV）提供更严格的身份验证，在证书中显示组织信息，提供更高的信任度（如EV的绿色地址栏），通常附带价值不菲的保修金（用于赔付因证书问题导致的损失），以及专业的技术支持服务。
證書過咗期會有乜嘢後果？
證書過期之後，當用戶訪問網站時，瀏覽器會顯示非常明顯嘅「不安全」警告，甚至直接阻止用戶繼續訪問。咁樣會導致用戶體驗好差，網站流量急跌，品牌信譽受損，如果涉及在線交易，就會造成直接嘅經濟損失。
我需要為子域名單獨申請證書嗎？
唔一定。呢個要睇你擁有嘅證書類型。如果你擁有嘅係通配符證書，咁一張證書就可以保護一個主域名底下嘅所有同級子域名。如果你用嘅係單域名證書，咁每個子域名都需要單獨嘅證書。多域名證書就可以喺一個證書入面包埋多個指定嘅、完全唔同嘅域名或者子域名。
下一步應該點做?
延伸閱讀及實用知識
以下內容與本文主題相關,適合進一步閱讀。一般而言,最好由與你目前問題最緊密相關的文章開始,然後逐步擴展到周邊主題。