每个人都可以，
拥有SSL证书

给小程序换SSL证书，流程其实不复杂，但线上出问题往往不是证书本身，而是配置上漏了点什么。最近刚好又处理了一次更换，顺手把关键步骤和常见报错整理一下，方便下次直接对着查。

先说前提，你得有域名和服务器的管理权限。没权限后面都白搭。

证书类型上，普通小程序用DV就够，成本低签发快；如果业务涉及支付或者对安全等级有要求，再考虑OV或EV。

申请渠道无非两种：免费的Let's Encrypt适合开发测试环境，真要上生产，还是推荐阿里云、腾讯云、沃通这类平台签的商业证书，省去不少麻烦。

申请完下载证书时注意选对服务器类型，Nginx和Apache用的文件格式不一样。

拿到的通常是一个.crt（或.pem）和一个.key文件。把这两个文件扔到服务器上，替换掉旧证书，然后重启服务。Nginx配置大概长这样：

server { listen 443 ssl; server_name api.yourdomain.com; ssl_certificate /etc/nginx/ssl/fullchain.pem; ssl_certificate_key /etc/nginx/ssl/privkey.key; ssl_protocols TLSv1.2 TLSv1.3; ssl_ciphers ECDHE-ECDSA-AES128-GCM-SHA256:...; location / { proxy_pass http://localhost:8080; } }

配置里ssl_protocols至少得TLSv1.2，微信对这个有硬性要求，低于1.2会被直接拦截。

证书装完别急着收工，用SSL Labs的SSL Test跑一遍，评分尽量到A+，同时检查证书链是否完整。

很多时候开发者工具里请求好好的，真机一跑就报600001，多半是中间证书没带上。遇到这种情况可以去myssl.com这类工具里补全证书链，再重新部署。

接下来是微信公众平台这边的配置。登录mp.weixin.qq.com，进开发管理 -> 服务器域名，把新证书对应的域名填到request合法域名里。注意这个域名必须已经完成ICP备案，不然加不进去。另外证书得跟域名严格匹配，包括子域名。如果报600002，就去检查证书的SAN列表里有没有包含你实际请求的那个域名，少一个都不行。

证书过期导致的小程序无法访问，报600003，这个没啥好说的，赶紧换新证书，然后服务器和微信后台两边同步更新就行。

要想后面不再被证书过期搞突击，最好搞个自动续期机制。

用一些SSL自动化运维工具可以实现自动续签和部署。同时给证书加个监控，云监控或者Prometheus都行，告警通道多配几个，短信、邮件、钉钉一块上，保证出事的时候找得到人。选平台的时候也留意一下是否提供证书到期提醒和托管服务，阿里云腾讯云这些现成的方案直接用，比自己写脚本维护省心。

说到底，证书更换的核心就是在服务器端替换文件、重启服务，然后去微信公众平台更新域名配置。整个过程里最容易栽的地方就是证书链不完整、域名不匹配，以及忘记检查TLS版本。

把这三个点守住了，基本就不会出大问题。