域名SSL证书这个东西呢, 它是被安装在Web服务器上面的一个叫做X.509的数字凭证, 它的核心功能主要就有两个方面的作用, 第一点就是来建立那个叫做TLS的加密通道, 以此来保护处于浏览器和服务器这两者之间的那种传输数据的状态, 不让它们被一些人去听去或者去搞篡改这个动作, 第二一点是由那些受到大家信赖的CA, 也就是所谓的证书颁发机构这个地方进行签发出来的动作, 以此去验证关于域名归属的那个真实性的状况, 所以那种没有完完全全把SSL这个部署做彻底的网站的话, 那么现在那些现代化的浏览器这里就会直接地给打上什么叫做“不安全”的这个标签, 进而会影响用户在信任这一方面的问题以及搜索引擎权重的那个问题。
三种证书类型，按场景选择
DV（域名验证型）证书: 它只是检查一下域名是不是你所有的, 所以发证的速度特别快, 通常花几分钟到一个小时就能搞定。Let's Encrypt这个平台可以给你提供免费的DV证书, 但是这个证书的有效期只有90天, 这类证书比较适合用在个人的网站或者是测试的环境上面去了。
OV（组织验证型）是在DV的基础上, 对企业工商登记信息进行核验, 证书会体现公司名称, 适合企业官网、SaaS业务平台。
强加标签EV（扩展验证型）: 核验过程最为严格, 需要提交营业执照、法人身份等很多角度的材料, 这种证书适合用在金融或者政务之类的对信任程度要求特别高的场景里。
在选型的时候, 有一个原则是明确的, 如果预算是有限的, 或者需要快速上线的话, 那么可以选择DV, 如果是企业需要对外品牌展示的话, 那么应该选择OV, 在金融与政务这两个领域, 适合选择EV。
申请与部署标准流程（以OV证书为例）
1. 首先要确认好那个域名还有服务器。要明确哪些域名需要去进行保护, 例如说www.example.com或者example.com这两种形式都是可以考虑的。同时还得弄清楚服务器上对应的IP地址究竟是什么样子。
2. 需要生成CSR, 具体的做法是在服务器端或者在CA管理后台去生成证书签名请求, 然后在里面填入域名、企业全称、所在城市以及国家等这些信息, 还要同时填入公钥参数。
3. 需要提交验证这个步骤, OV证书的CA机构是会在大约1到5天的工作日期间内, 通过之前企业在系统中留下来的电话号码或者是电子邮箱地址这种方式, 联系到相关负责人来进行确认操作的。
4. 签发和安装的步骤是先进行验证, 在确认验证通过以后, 再去下载包含证书链的文件, 这些文件的格式可能是crt或者是pem, 然后把下载好的文件部署到包括Nginx以及Apache等在内的Web服务器中去, 紧接着需要对服务器进行配置, 设置其监听443这个端口。
5. 进行上线验证: 借助地址栏输入 https 加上域名的方式去访问, 然后确认在地址栏那里能够看到锁图标出现, 与此同时并没有任何有关证书错误的提示信息出现。
有效期与续期规则
根据CA/Browser Forum发布的现行标准的内容, SSL证书最大的有效时间是398天这一条规定被写进去了。主流的商业型CA机构, 也就是像DigiCert这样、GlobalSign还有Sectigo这样的机构, 在实际操作中签发证书的周期是397天。
另外, 免费的CA机构, 就是Let's Encrypt这个平台的情况, 它的有效期是90天。大家最好在到期之前的那个三十天的时间内, 就把续期的工作给启动起来。这里头要注意了, 那个OV类型的证书或者EV类型的证书, 是得把企业的验证材料重新提交上去的。
但是呢, DV这个类型的证书, 它是支持让自动化续期脚本去搞定的。
高频疑问速答
通配符证书到底能不能把子域名全部都覆盖了? 拿一张 *.example.com 的通配符 DV 证书来说, 它实际上只能覆盖所有的二级子域名。可是, 如果出现了像 a.b.example.com 这样的多级子域名情况的话, 那么这张证书就不能包括这些内容了, 因为它对这种情况是没有涵盖效果的。
大家通常会问, 是否一定要掏钱去买那些证书呢? 这个答案并不是肯定的。大家可以去寻找像Let\'s Encrypt这样子的服务, 还有Cloudflare这些平台, 它们都提供免费的DV类型的证书, 这些证书基本上是可以满足绝大多数常规网站的需求的。
如果证书域名配错了应该怎么处理呢, 需要重新提交CSR或者向CA申请补发, 一些商业CA会收取补发服务费。
域名与证书协同管理要点
在进行域名注册的时候, 那个注册的主体内容, 和申请SSL证书的主体内容必须是同样的一个东西, 如果不是这样的话, 那么在OV或者是EV这个验证的过程当中, 就会直接被CA机构给驳回掉。
就拿gname.xin这个情况来作为一个例子说吧, 如果一个企业他是持有这个域名的, 并且他去申请了一个OV证书的话, 那么在这个CSR里面的组织名称这部分信息, 就必须和这个域名的Whois备案信息是完全完全一模一样的, 只有这样子, 整个验证的链条才算是可以顺利地完成通过的那个动作。
我们建议大家把域名到期日这个地方, 还有证书到期日这个地方, 都统一放进日历里去提醒。这么做的目的就是为了避免因为任一方过期了之后, 导致全站HTTPS服务中断这个问题发生。
