域名 SSL 证书, 是专门为特定的域名签发的, 用来给 HTTPS 加密使用的凭证, 它的核心作用, 就是保护浏览器和服务器之间, 进行数据传输时候的安全问题。
如果一个网站, 没有部署 SSL 证书的话, 像 Chrome、Edge 这些主流媒体推荐的浏览器, 会直接用文字的方式显示出“不安全”这三个字的警告信息, 这样的话, 不仅会直接影响到了用户对网站的信任程度, 还有可能会被搜索引擎进行降权操作。
这篇文章会把域名SSL证书的选型、申请、部署还有续费管理这几个环节全部都讲到, 给大家说清楚这一整个操作流程到底该怎么做。
域名SSL证书类型与选型
根据验证等级的不同, 域名的SSL证书被分割成了三个分类。
域名验证型（DV）, 它是只去验证域名的所有权到底归谁所有, 证书签发的速度是特别快的, 一般情况下是在1到24小时这个时间范围内完成的, 这种类型适合给个人站点用, 也适合给小型网站用。
把企业主体信息做额外的验证叫做组织验证型（OV）, 在这种情况下, 证书详情页会显示出那个公司的全称, 这个适用于公司官方网站以及B2B这样的平台。
扩展验证型, 简称EV类型, 它的验证流程是最为严格的。当你访问这类网站时, 浏览器的地址栏会直接显示出企业的注册名称。这种设计特别适用于那些对信任度要求非常高的场景, 比如金融行业和电子商务领域。
在加密算法这方面, 现在行业里大多数人都用RSA, 位数为2048位。还有ECC中的P-256曲线, 这也算主流方案。这两种方法, 都符合CA/B Forum目前所规定的那些安全标准。对于普通网站来说, 只要选择RSA 2048就够了。
申请域名SSL证书的标准步骤
1. 你要先去把那个证书类型还有相关的CA机构给选好了, 现在的这个主流的CA机构里头就包括了叫做Let's Encrypt的这个, 它是白嫖不用钱的, 另外还有叫做DigiCert的, 还有GlobalSign这个,再一个就是Sectigo这些龙南市就业服务平台, 你需要根据你自己的预算情况以及信任方面的需求来看看到底到底应该去选择哪一个。
2. 你需要去生成并且提交一个叫做证书签名请求的东西, 也就是我们常说的CSR。在这个操作里面, 你要确保那个证书的域名是和你想要申请证书的目标网站的域名一模一样的, 这里打个比方, 像 www.example.com 这种情况就是你的目标域名。
除了这个域名你得搞清楚以外, 你还需要填写关于你自己的其他一些信息, 这些信息包括你的组织名称是谁, 你都来自哪个国家或者叫地区, 所在的州或者是省是什么名字, 以及具体的城市又是哪一个地方。
3. 必须去完成域名的验证工作。如果是DV证书, 通常的办法就是在DNS那里添加TXT记录, 或者是通过HTTP文件来进行验证。但如果遇到的是OV证书或者EV证书, 那么就会由CA机构打电话过去, 或者直接发邮件联系企业那边指定的联系人, 以此来作出确认。
4. 等到验证的事情确认没有问题的, 也就是通过了以后, 由CA这个单位去签发那个证书, 然后把带有.crt结尾的或者带.pem结尾的这种格式的证书文件给交过来, 与此同时, 它还会把中间证书还有根证书也一起带过来。
证书部署方法
在证书签发完成之后, 需要把这个东西部署到web服务器或者cdn节点上面去, 常见的方式如下:
先把那个证书文件还有私钥放到服务器上面指定的那些目录里去, 接着去把那个配置文件打开,在里面把 ssl_certificate 这个还有 ssl_certificate_key 这几个路径都设置好域名ssl证书, 最后再执行一下 nginx -s reload 这个命令就可以了, 这样设置就生效了。
对于Apache来说, 在虚拟主机配置里面指定SSLCertificateFile指向对应的文件来作为证书文件路径, 另外还要配置一个叫做SSLCertificateKeyFile的选项指向那个私钥文件的路径。然后最后一步的操作, 是需要重新启动Apache服务让配置生效的。
很多云厂商以及提供CDN服务的平台, 像阿里云、腾讯云、还有Cloudflare这些例子所示的平台,它们都支持一种操作域名ssl证书, 就是直接在控制台上把证书文件进行上传, 这个过程根本不用登录服务器去进行操作。
部署完成了以后呢, 你需要在浏览器的地址栏里面输入那个网址是 https://你的域名。如果你在操作的过程中能看到没有红色的警告信息跳出来, 而且旁边那个小锁头的图标也都是正常显示的话。那么这种情况就完全可以代表说, 你这个证书已经正式生效了, 你可以放心使用了。
续费与日常管理要点
有效期方面, Let's Encrypt 的证书有效期设定为九十天, 而商业证书的有效期最高可以达到三百九十八大限制, 这个是CA及商业浏览器论坛在二零二零年发布的新规定。
当证书即将到期时, 必须要把续费续签的事情给做完, 不然的话, 网页浏览器那边就会弹出提示, 说这个证书已经过期了, 这样一来就会导致整个网站的 HTTPS服务全都中断掉。
大家要知道, 通配符证书这个样子的, 也就是写成 *.example.com 这种形式的, 它仅仅是覆盖了和 example.com 处在同一个层级的那些子域名的, 它是没有包含 example.com 这个主域名本身的, 所以主域名是需要单独去进行申请的。
服务器IP地址发生了改变这件事, 并不会造成之前已经签发的那些证书变得无效, 不过有一点是必须去确认的, 那就是域名解析设置有没有完成修正, 并且这些设置现在是否已经正确地指向到了新的那个IP地址。
当你需要同时管理多个域名证书的时候, 通常建议大家使用那些能够自动化监控到期时间的工具。像 gz88.cn 这个平台是提供的。它可以帮你提供免费提醒来告诉你哪些证书快要到期了。
它还能进行批量续签证书的服务。通过这种方式, 你可以把很多个域名的 SSL 证书都统一放在一个地方进行管理。这样做的好处是完全可以避免因为你忘记了时间而导致网站出故障或者停止运行这种情况的出现。
高频问题速答
Q：一张SSL证书能绑定多个域名吗？
普通情况下, 一个标准的单域名证书只能对应一个单个的域名, 如果遇到需要多个域名的场景, 必须去申请一种叫做超级SAN证书的多域名类型证书, 或者也可以选择使用通配符类型的证书来获得对同一级别子域名的覆盖支持。
把域名给换了之后呢, 那些老证书还能接着用。
答, 是不可以的。因为SSL证书和你绑定的那个域名之间存在着非常紧密的关联。当你更换了域名的时候, 就必须去重新申请一个新的, 并且还要把这个新的对应新域名的证书给部署上去。
Q：免费证书和付费证书有什么本质区别？
这两者的加密强度是相等的。核心差异体现在验证等级以及有效期长短这两个方面。还包括是否包含技术支撑与SLA保障这些内容。对于个人站来说, 选用免费DV证书就足够了。而企业官网则建议采用OV及以上的级别。
