每个人都可以，
拥有SSL证书

互联网安全至关重要。SSL证书是基石。它加密数据传输。保护用户隐私。提升网站信任度。本指南将详细阐述SSL证书的申请与安装。从选择提供商到服务器配置。每一步都清晰明了。

1. 计划与准备

选择证书颁发机构 (CA) 或提供商

这是首要步骤。决定证书来源。

• 商业CA: DigiCert, Sectigo等。提供多种证书。有技术支持。费用较高。
• 免费CA: Let's Encrypt。提供DV证书。自动化流程。适用于个人网站。
• 服务商平台: 云服务商、域名注册商代理。更便捷。 特别提示: lcjmSSL提供免费SSL证书申请。是快速获取证书的选项。

选择证书类型

证书类型决定验证级别和适用范围。

• DV (Domain Validated): 仅验证域名所有权。颁发最快。适用于个人博客。
• OV (Organization Validated): 验证域名与组织信息。需提交企业资料。适合中小企业。
• EV (Extended Validation): 最高验证级别。流程最严。地址栏显示公司名称。适合大型企业。
• 按覆盖范围:
  • 单域名证书: 保护一个完整域名。例如 www.example.com。
  • 通配符证书 (Wildcard): 保护主域名及所有一级子域名。例如 *.example.com。
  • 多域名证书 (SAN/UCC): 保护多个不相关域名。例如 example.com, anothersite.net。

收集必要信息

申请前。准备好以下信息。

• 需保护的域名列表。
• 服务器操作系统 (Linux, Windows)。
• Web服务器软件 (Apache, Nginx, IIS)。
• 联系人信息。

2. 生成证书签名请求 (CSR)

CSR是申请证书的关键文件。含公钥、域名等信息。私钥在生成CSR时生成。务必妥善保管私钥。绝不能泄露。

如何生成CSR

• 使用OpenSSL (Linux/macOS): bash openssl req -new -newkey rsa:2048 -nodes -keyout your_domain.key -out your_domain.csr 生成2048位RSA私钥 (.key)。同时生成CSR (.csr)。填写信息。Common Name (CN) 需为保护域名。例如 www.example.com。
• 使用IIS (Windows Server): 打开IIS管理器。选择服务器。双击“服务器证书”。点击“创建证书请求”。按向导填写。生成CSR。
• 在线CSR生成工具: 部分CA或服务商提供。但推荐服务器本地生成。更安全。

私钥的保管

CSR生成后。得到.key文件。这是私钥。用于解密。失去私钥。证书失效。备份私钥。确保安全存储。

3. 证书申请与验证

提交CSR

复制.csr文件内容。粘贴至CA或服务商申请页面。

域名验证 (DV)

CA需验证域名所有权。确保证书颁发合法。

• 文件验证 (HTTP/HTTPS): 在网站根目录放置特定文件。CA访问验证。
• DNS验证 (TXT记录): CA提供TXT记录。添加到域名DNS解析。CA查询DNS验证。
• 邮件验证: CA发送验证邮件至域名管理员邮箱。点击链接完成。

组织/扩展验证 (OV/EV)

OV/EV证书验证更严格。

• 组织信息验证: 需提供营业执照等法律文件。
• 电话验证: CA可能电话联系企业确认。
• 此过程可能需几天到几周。

证书颁发

验证通过后。CA颁发证书。通常含主证书 (.crt)。中间证书 (.ca-bundle)。有时还有根证书。

4. 证书安装

将证书文件上传服务器。并配置Web服务器。

通用步骤

1. 上传文件: 上传主证书、中间证书、私钥到服务器指定目录。如 /etc/ssl/certs/ 和 /etc/ssl/private/。
2. 配置Web服务器: 根据服务器类型修改配置。

Web服务器配置示例

• Apache: 编辑 httpd-ssl.conf 或 VirtualHost 配置。 apache <VirtualHost *:443> ServerName your_domain.com DocumentRoot /var/www/html SSLEngine on SSLCertificateFile /path/to/your_domain.crt # 主证书 SSLCertificateKeyFile /path/to/your_domain.key # 私钥 SSLCertificateChainFile /path/to/your_domain.ca-bundle # 中间证书链 # 推荐的安全配置 SSLProtocol All -SSLv2 -SSLv3 -TLSv1 -TLSv1.1 # 禁用旧的、不安全的协议版本 SSLCipherSuite "EECDH+AESGCM:EDH+AESGCM:AES256+EECDH:AES256+EDH" # 优先强大的加密套件 SSLHonorCipherOrder on # 服务器优先选择加密套件 </VirtualHost> 确保 mod_ssl 已启用。
• Nginx: 编辑站点配置文件。通常在 /etc/nginx/sites-available/。 nginx server { listen 443 ssl; server_name your_domain.com; ssl_certificate /path/to/your_domain.crt; # 主证书 ssl_certificate_key /path/to/your_domain.key; # 私钥 ssl_trusted_certificate /path/to/your_domain.ca-bundle; # 中间证书链 ssl_protocols TLSv1.2 TLSv1.3; # 禁用旧版协议，增强安全性 ssl_ciphers 'TLS_AES_256_GCM_SHA384:TLS_CHACHA20_POLY1305_SHA256:TLS_AES_128_GCM_SHA256:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-RSA-AES128-GCM-SHA256'; # 优先使用现代加密套件 ssl_prefer_server_ciphers on; # 服务器优先选择加密套件 root /var/www/html; index index.html; }
• IIS (Windows Server): 若通过IIS生成CSR。操作更简便。
  1. IIS管理器。服务器。双击“服务器证书”。
  2. 点击“完成证书请求”。导入CA颁发.crt文件。自动匹配私钥。
  3. 选择网站。右键“编辑绑定”。添加https类型绑定。选择导入证书。

重启Web服务

修改配置后。必须重启Web服务器。

• Apache: sudo systemctl restart apache2
• Nginx: sudo systemctl restart nginx
• IIS: 绑定更改立即生效。

5. 安装后验证与维护

验证安装

1. 浏览器检查: 访问网站。看地址栏绿色小锁。检查证书详情。
2. 在线SSL检测工具: Qualys SSL Labs SSL Test。全面评估证书安装。包括证书链、协议支持、加密套件等。
3. 检查混合内容: 确保所有资源走HTTPS。防“不安全”警告。

HTTP到HTTPS重定向

确保所有流量HTTPS。配置Web服务器重定向HTTP到HTTPS。

• Apache (.htaccess 或 VirtualHost): apache RewriteEngine On RewriteCond %{HTTPS} off RewriteRule ^(.*)$ https://%{HTTP_HOST}%{REQUEST_URI} [L,R=301]
• Nginx (server块): nginx server { listen 80; server_name your_domain.com; return 301 https://$host$request_uri; }

证书续期

SSL证书有有效期。1年或90天。

• 设置续期提醒。
• 免费证书通常支持自动化续期 (如Certbot)。
• 商业证书需提前购买并重新安装。

通过以上详细步骤。你可顺利完成SSL证书的申请和安装。为网站提供坚实安全保障。