什麼是 SSL/TLS 證書？
SSL證書，更準確地應稱爲TLS證書，是一種數字證書，用於在客戶端（如瀏覽器）和服務器（如網站）之間建立加密鏈接。其核心功能是實現HTTPS協議，確保兩者之間傳輸的所有數據都經過加密，防止被竊聽或篡改。
當用戶訪問一個部署了有效SSL證書的網站時，瀏覽器會與服務器進行一次“握手”過程。在此過程中，服務器會向瀏覽器出示其SSL證書。瀏覽器會驗證該證書是否由受信任的證書頒發機構簽發、證書是否在有效期內、以及證書中的域名是否與正在訪問的網站域名匹配。驗證通過後，瀏覽器和服務器之間便會建立起一個安全的加密通道。
推荐阅读 什么是SSL证书？原理、类型及安装配置全解析。
這個加密鏈接的標誌是瀏覽器地址欄中出現的鎖形圖標，以及以“https://”開頭的網址。這向用戶明確表示，他們與該網站的連接是私密且安全的。除了加密，SSL證書還提供了身份驗證功能，幫助用戶確認他們正在與真實的、預期的服務器通信，而非一個冒名頂替的釣魚網站。
SSL证书的主要类型
根據驗證級別和覆蓋的域名數量，SSL證書主要分爲以下幾類，以滿足不同場景的需求。
域名验证型证书
域名驗證型證書是獲取速度最快、成本最低的SSL證書類型。證書頒發機構僅驗證申請者對域名的所有權，通常通過向域名註冊郵箱發送驗證郵件或要求設置特定的DNS記錄來完成。DV證書非常適合個人網站、博客、測試環境或不需要向用戶強烈展示企業身份的內部系統。它提供基本的加密功能，但瀏覽器地址欄僅顯示鎖標誌，不會展示公司名稱。
推荐阅读 SSL證書詳解：從類型選擇到Nginx服務器安裝配置全指南。
组织验证型证书
組織驗證型證書提供了比DV證書更高級別的信任。CA不僅驗證域名所有權，還會覈實申請組織的真實存在性，例如覈查公司的工商註冊信息。因此，OV證書的簽發需要數個工作日。部署OV證書後，用戶可以通過點擊瀏覽器地址欄的鎖圖標來查看證書詳情，其中會包含經過驗證的公司名稱信息。它適用於企業官網、電子商務平臺等需要展示可信身份的場景。
扩展验证型证书
擴展驗證型證書是驗證最嚴格、信任等級最高的SSL證書。CA會對申請組織進行最全面的審查，包括其法律、物理和運營存在性。獲得EV證書的網站在大多數主流瀏覽器中，其地址欄會變爲綠色，並直接顯示經過驗證的公司名稱。這爲金融、支付、大型電商等對安全與信任有極高要求的行業提供了最直觀的可信標識。不過，隨着瀏覽器UI的演變，部分瀏覽器已不再突出顯示綠色地址欄，但EV證書本身的嚴格驗證標準依然存在。
多域名与通配符证书
除了按驗證級別分類，SSL證書還可按覆蓋的域名數量劃分。單域名證書僅保護一個完全限定域名（例如 `www.example.com` 或 `example.com`）。多域名證書允許在一張證書中添加並保護多個不同的域名（例如 `example.com`, `example.net`, `shop.example.org`）。通配符證書則用於保護一個主域名及其所有同級子域名，例如 `*.example.com` 可以保護 `blog.example.com`, `mail.example.com`, `pay.example.com` 等，爲擁有大量子域名的企業提供了極大的管理便利和成本效益。
推荐阅读 什么是SSL证书？从原理到选购与安装的完整指南。
如何選擇與購買 SSL 證書
面對衆多類型的SSL證書，做出正確的選擇需要綜合考慮網站性質、安全需求和預算。
首先，評估您的網站類型。對於個人項目、信息展示類博客或測試服務器，域名驗證型證書通常就足夠了。如果網站涉及用戶登錄、數據傳輸或簡單的電子商務，組織驗證型證書能提供更好的信任背書。對於銀行、證券、大型在線支付平臺或任何處理高度敏感信息的網站，擴展驗證型證書是最佳選擇，它能最大程度地增強用戶信心。
其次，考慮域名覆蓋需求。如果僅有一個主域名，單域名證書即可。如果需要保護多個完全不相關的域名，應選擇多域名證書。如果擁有一個主域名和大量動態子域名（例如爲客戶提供個性化子域名的SaaS平臺），通配符證書是最經濟高效的解決方案。
在購買渠道上，可以直接從全球知名的CA（如DigiCert, Sectigo, GlobalSign）或其授權經銷商處購買。價格、售後服務和支持的靈活度是選擇經銷商時的重要考量因素。購買時還需注意證書的有效期，目前行業標準最長有效期爲13個月，到期前必須續訂或重新申請。
推荐阅读 SSL證書詳解：從原理到部署，全面保障網站安全。
SSL證書的安裝與部署流程
成功選購證書後，正確的安裝與部署是確保安全鏈路生效的關鍵。這個過程主要分爲三個步驟：生成CSR、提交驗證、安裝證書。
生成证书签名请求
證書籤名請求是證書安裝流程的第一步，需要在您的服務器上完成。CSR是一個包含您公鑰和網站身份信息（如域名、組織名稱、所在地）的加密文本文件。生成CSR的同時，服務器會自動創建一對匹配的私鑰和公鑰。私鑰必須被絕對安全地保存在服務器上，且永不泄露，因爲它是解密傳輸數據的唯一鑰匙。而CSR文件中的公鑰部分則會提交給CA。
提交驗證並獲取證書
將生成的CSR文件提交給您所購買的證書頒發機構。根據您購買的證書類型（DV, OV, EV），CA會啓動相應級別的驗證流程。對於DV證書，驗證可能在幾分鐘內完成；對於OV/EV證書，則可能需要數天。驗證通過後，CA會將簽發的SSL證書文件（通常爲 `.crt` 或 `.pem` 格式）以及可能的中級證書鏈文件通過郵件或控制面板提供給您。
在服務器上安裝證書
最後一步是將獲取到的證書文件安裝到您的Web服務器軟件上（如Apache, Nginx, IIS等）。此過程通常涉及將證書文件、私鑰文件以及CA提供的證書鏈文件上傳到服務器的特定目錄，並在服務器配置文件中指定這些文件的路徑。配置完成後，重啓Web服務以使更改生效。
部署完成後，務必使用在線SSL檢查工具（如SSL Labs的SSL Test）對您的網站進行全面檢測。該工具會評估證書是否正確安裝、配置是否安全（如是否支持過時的協議或弱密碼套件），並給出評分和改進建議。定期維護，包括在證書到期前及時續訂，也是確保持續安全的關鍵。
总结
SSL證書已從一項可選的安全增強措施，演變爲構建可信、合規的現代網站的基石。它通過加密保護數據隱私，通過身份驗證防範網絡欺詐，是啓用HTTPS協議的必要條件。理解域名驗證型、組織驗證型和擴展驗證型證書之間的區別，能夠幫助您根據網站的實際需求做出精準選擇。而掌握從生成CSR、通過驗證到最終在服務器上完成安裝部署的完整流程，則是每一位網站運維人員必備的技能。正確部署和維護SSL證書，不僅守護了用戶的數據安全，也顯著提升了網站的專業形象和搜索引擎排名。
常见问题解答（FAQ）
DV、OV、EV 证书在浏览器显示方面有什么区别？
DV證書在瀏覽器地址欄中通常只顯示鎖形圖標和HTTPS標識。OV證書在鎖圖標詳細信息中會展示已驗證的組織名稱。EV證書過去會在地址欄直接顯示綠色的公司名稱，雖然現代瀏覽器界面有所簡化，但其證書詳情中依然包含最高級別的組織驗證信息，並被金融機構等高安全需求行業廣泛採用。
一張SSL證書可以用於多臺服務器嗎？
是的，這取決於證書的授權許可。大多數SSL證書允許在同一組織內，爲同一個受保護域名在多臺服務器（例如前端Web服務器和負載均衡器）上安裝使用。但需要注意的是，服務器私鑰需要在這些服務器之間安全地共享或分別配置，務必遵循最佳安全實踐，防止私鑰泄露。
爲什麼我的網站安裝了SSL證書，瀏覽器仍然顯示“不安全”？
出現此警告可能有多種原因。最常見的是網頁內混合加載了HTTP和HTTPS資源（如圖片、腳本、樣式表來自HTTP鏈接），這被稱爲“混合內容”問題，瀏覽器會認爲頁面不完全安全。其他原因包括證書過期、證書域名與訪問域名不匹配、證書鏈不完整，或服務器配置錯誤導致使用了不安全的協議（如SSL 2.0/3.0）。
SSL證書到期後會發生什麼？
SSL證書一旦過期，瀏覽器會向訪問者發出明確的“不安全”警告，甚至阻止用戶繼續訪問該網站。這會導致用戶體驗急劇下降，信任喪失，並可能嚴重影響網站流量和業務。因此，必須建立證書監控和續訂流程，建議在證書到期前至少30天進行續訂操作。
通配符證書可以保護多級子域名嗎？
標準的通配符證書（`*.example.com`）只能保護一級子域名，例如 `blog.example.com` 或 `shop.example.com`。它不能保護多級子域名，例如 `dev.www.example.com`（這是兩級）。如需保護多級子域名，需要爲特定級別申請對應的通配符證書（如 `*.www.example.com`），或爲具體域名申請單獨證書。
接下来，我该怎么做呢？
延伸阅读与实用知识
以下内容与本文主题相关，适合继续深入阅读。建议先从与你当前问题最相关的文章开始阅读，之后再逐步扩展到相关主题，这样通常效果会更好。