SSL证书部署：资深站长踩过坑才懂的实操干货
上个月帮一个老站长朋友救站，他刚换了服务器，SSL证书没弄对，站直接被浏览器标“不安全”，三天掉了一半流量，急得嘴上起泡。说实话，很多新手甚至做了好几年站的朋友，都觉得SSL不就是点一下部署吗？哪来那么多事儿？
真错了。
我见过太多死在细节上的案例，很多你看起来完全没问题的配置，换个设备打开就给你弹不安全警告，流量掉了都不知道为什么。
选对证书类型，再谈部署
很多人上来就搜免费SSL，上来就申请DV证书，说反正都是加密，能用就行。
这话对一半。
个人博客、静态展示站，玩玩的话，DV免费证书足够用，毕竟不用花钱，现在各大云厂商也支持自动续期，省事儿。但你要是做电商、做企业官网、做付费转化的站，还用免费DV？那不是给自己挖坑吗？
DV证书只验证域名所有权，OV和EV证书才会验证企业/组织身份，现在主流浏览器地址栏会直接显示企业名称，用户进来看着就放心，搜索引擎排名也会有隐性加权，这个已经是行业公开的秘密了。
再说泛域名和单域名的区别，很多新手在这里踩坑。你要是手底下有十来个二级域名，一个个申请单域名证书，部署完，后续续费一个个改，折腾半个月都弄不完。一张泛域名证书，直接搞定所有*.你的域名.com的子域名，香不香？
不过话说回来，泛域名证书的私钥一定要保管好，别泄露到公网，毕竟一张证书管所有子域名，泄露了全站点都危险。
https://obgeo.oss-cn-beijing.aliyuncs.com/pvc-articles/198f3c82-30da-4643-8594-70302cce281a.jpg
不同场景SSL证书类型选择对照表
主流服务器部署的核心坑点
我做站长快十年，见过最多的问题，全出在细节上，给你捋捋最常见的几个坑，都是我和身边朋友真踩过的。
先讲最多人用的Nginx。
很多人配置完，一重启Nginx直接报错，翻日志半天找不到问题，十有八九是两个错：要么pem证书和key私钥的路径写反了，要么用了相对路径，服务器重启后找不到文件。我刚入行的时候干过这事儿，折腾了一整宿，最后发现就是两个文件弄反了，现在想起来还好笑。
更隐蔽的坑是缺少中间证书链。很多人下载证书的时候，只拿了自己域名的那一份，没把厂商给的中间证书加进去，结果苹果手机打开正常，安卓手机一打开就弹“不安全”，很多人排查半个月都找不到问题，就卡在这里。给你说个准没错的方法：下载证书的时候，把给你的所有证书文件按顺序拼到pem里，域名证书放最前面，中间证书放后面，顺序别错，保证不会出问题。
再讲宝塔面板一键部署的坑，很多新手用面板点一下一键申请SSL，就完事了，结果打开站还是HTTP，为啥？你没开80跳443的规则啊！面板默认有时候不会自动加跳转规则，你得自己去域名设置里开一下HTTPS跳转，别漏。
https://obgeo.oss-cn-beijing.aliyuncs.com/pvc-articles/f41f9f64-9405-4350-b67f-add5834ee974.jpg
Nginx SSL证书完整配置代码示例
要是用Apache的朋友记住，证书路径一定要写绝对路径，别写相对路径，你重启Apache看着没问题，服务器一重启，直接找不到证书，站直接打不开，到时候哭都来不及。
还有，一键部署完一定要自己备份一份证书到本地，很多人把证书存在云厂商面板里，换服务器的时候，账号找不到或者面板升级找不到证书，重新申请耽误七八个小时，流量掉得心疼，犯不上。
部署完别着急交差，一定要做这三项验证
https://obgeo.oss-cn-beijing.aliyuncs.com/pvc-articles/e0b138bd-1a23-4b0f-a539-df743b01be52.jpg
部署完别着急交差，一定要做这三项验证
很多人部署完，自己电脑打开，看到地址栏有个小绿锁，就拍拍屁股走人了。
大错特错。
我每次部署完，都会做三个验证，少一个都可能出问题。
第一个，换不同设备不同浏览器打开测，尤其是安卓8以下的老版本，还有微信内置浏览器，大部分证书链的问题，都会在这里现形，你自己用最新的苹果浏览器看不到，不代表用户看不到。
第二个，必须去SSL Labs做一次全站检测，能拿到A以上的分数才算合格，要是拿到B或者更低，肯定有问题，要么你还开着老旧的TLS1.0/1.1协议，要么加密套件配置不对，现在搜索引擎对老旧协议直接降权，别等排名掉了才反应过来。
第三个，排查混合内容问题。什么是混合内容？就是你的主页是HTTPS，但是里面插的图片、CSS、JS还是HTTP链接，浏览器会直接标“不完全安全”，小锁会变成灰色感叹号，用户看着就不信任，甚至有些浏览器直接拦掉。怎么查？打开Chrome开发者工具的控制台，所有混合内容的错误都会标红，一个个改就行，嫌麻烦直接在Nginx加个替换规则，自动把页面里的HTTP替换成HTTPS，十分钟搞定。
再说几个常见的故障坑：证书到期一定要提前至少一周续费部署，我见过做了十年的老站长都能忘这事，一到期站直接变不安全，一天掉几千流量，找谁说理去？弄个手机日历提醒，提前半个月就标上，别偷懒。用了CDN的朋友记住，CDN要部署证书，源站也要部署证书，只弄一边肯定出问题，要么用户打不开，要么回源报错，别问我怎么知道的。
说实话，SSL证书部署真没什么高深的技术，难就难在细节，十个部署八个错在细节，差一点点结果就天差地别。你别嫌麻烦，部署完多花半个小时检查一遍，比出了问题再熬几个通宵折腾舒服多了。
免费证书不是不能用，记得开自动续期，隔两个月检查一次续期成功了没有，别三个月到期了都不知道，照样翻车。 楼主分析得很到位，很多地方都很实用，已经默默收藏起来慢慢看。 思路很清晰，步骤也很详细，跟着操作应该不会出什么问题。 每一段都很有分量，认真读完全篇感觉整个人都提升了不少。 每一条都很实用，已经记下来了，以后遇到类似问题就能用上。 经验很宝贵，尤其是亲身实践过的总结，比网上随便找的靠谱多了。 非常同意楼主的看法，现实中确实是这样，很多人都忽略了这一点。 虽然篇幅不长，但句句都是重点，简洁又有深度，非常不错。 这个问题困扰我很久了，看了你的帖子终于有思路了，非常感谢。 楼主的经历很有参考价值，给了我很多新的思考方向，非常感谢。 楼主考虑得很全面，不仅讲了方法，还提到了注意事项，非常贴心。 对新手特别友好，解释得很细致，就算零基础也能看懂大半。 认真看完了整篇内容，感觉受益匪浅，期待楼主后续更多优质的分享。 讨论氛围很好，大家都在理性交流，这样的论坛环境太舒服了。 很多点我之前都没想到，楼主一提醒才恍然大悟，收获很大。 讲得很透彻，把复杂的问题简单化，理解起来轻松了很多。 希望楼主常来发帖，持续输出优质内容，我们都会一直支持你。 这个话题确实很值得讨论，我也有类似的经历，非常认同楼主的观点。 看完感觉打开了新思路，以后遇到类似情况知道该怎么处理了。
页:
[1]
2