SSL证书部署：踩过无数坑后整理的实操全指南
很多新手站长刚上线网站，头大的第一件事就是SSL证书部署——要么部署完打不开，要么地址栏还是稳稳显示“不安全”，花大几百买的企业证书还报红，找客服都说不清问题出在哪。我干站长快十年，光是帮朋友排查SSL部署问题，都不下一百次，大部分问题其实都是很小的坑，提前说破根本不会踩。
先搞对：选证书比会部署更重要
很多人上来就搜免费SSL证书，上来就弄Let's Encrypt，不是说不好，但得看你的场景对吧？
如果是个人博客、测试站，用免费的完全没问题，现在各大云厂商也出了一年期的免费DV证书，不用像以前那样三个月续一次，够省心。
但如果你是做商业站点、品牌官网、带支付功能的商城，听我一句，直接上OV/EV证书。不只是更安全，EV证书还能直接在地址栏显示你的公司名称，用户一看就觉得正规，转化率都能高一点，一年几百块钱，真不贵。
还有很多人搞不定泛域名证书的需求，你要是有一堆二级域名，别一个个申请单域名证书，浪费时间还不好管理，直接整个泛域名DV证书就行，百来块钱一年，所有二级域名通用。别踩错坑：泛域名证书*.yourdomain.com只覆盖一级二级域名，覆盖不了*.api.yourdomain.com这种多级子域名，需要额外再弄，别买完了才发现用不了，退都退不了。
https://obgeo.oss-cn-beijing.aliyuncs.com/pvc-articles/8c91e5ce-6345-4d0e-9e1b-3458461d6df2.jpg
不同类型SSL证书适用场景对比表
不同环境实操步骤，照做就能成
说实话现在大部分新手都用宝塔面板，我就先说这个，真的是新手福音，五分钟搞定。
流程说一遍：登陆你的宝塔后台，找到「网站」，点开对应站点的「设置」，侧边栏找到「SSL」选项，如果你已经提前申请好了证书，直接把证书内容和私钥内容复制进去点保存就行；要是还没申请，直接在面板里选对应厂商的免费证书，填好邮箱点申请，一键就部署完了。
重点来了！部署完别忘做一件事：打开「强制HTTPS」开关。就这一步，至少一半的新手会忘。你不开的话，HTTP和HTTPS两个版本都能访问，搜索引擎会判定你重复内容，SEO排名直接给你降权，之前有个做餐饮加盟的客户，半年排名上不来，找我查问题，最后发现就是没开这个，气得他拍桌子。
那用纯净版Nginx的怎么弄？也简单，我给你说核心步骤：
你申请完证书，服务商一般会给你两个文件，一个是域名公钥证书（后缀一般是.pem或.crt），一个是私钥文件（后缀一般是.key），先在服务器建个目录，比如/etc/nginx/ssl/，把两个文件传上去。
然后打开你这个站点的Nginx配置文件，改server块，加上这段配置，指定你证书和私钥的路径，然后开443监听。
改完别忘先检查配置对不对：nginx -t，没报错再重启Nginx：systemctl reload nginx。
哦对了！最容易踩的坑来了：一定要检查云服务器后台的安全组，还有服务器本身的防火墙，有没有开443端口！我见过太多人，配置写的一点错没有，就是打不开HTTPS，查了俩小时，发现安全组没放通443，纯纯浪费时间。
https://obgeo.oss-cn-beijing.aliyuncs.com/pvc-articles/a5c50b28-6478-4a32-8df9-7c3bfe9b34bc.jpg
云服务器安全组开放443端口设置截图
部署完必须做的三项检查，别留后患
https://obgeo.oss-cn-beijing.aliyuncs.com/pvc-articles/0e65cb5c-c7c9-40d6-92bd-06ddccaf3b90.jpg
部署完必须做的三项检查，别留后患
部署完不等于就完事了，一定要做这三个检查，不然回头出问题你都找不到原因。
第一，先看浏览器地址栏，是不是有绿色小锁标，点进去能看到证书信息，显示「证书有效」就行。要是你想测的更专业，去SSL Labs的免费检测工具输域名，能给你评级，一般能拿到A就没问题，要是评级低，大概率是证书链不全，去服务商那里重新下载完整证书链替换就行。
第二，检查HTTPS跳转和CDN配置。如果你用了CDN加速，不管是国内的阿里云CDN还是国外的Cloudflare，都要在CDN控制台部署对应证书，源站部署了没用，CDN没弄的话，用户访问还是显示不安全，这个坑我刚入行的时候踩过，折腾了整整一天才反应过来，现在想起来都懊恼。还有就是一定要确保所有HTTP请求都能301跳转到HTTPS，别漏。
第三，检查你所有的业务配置。比如你做微信小程序、公众号，业务域名要改成HTTPS，证书不对直接过不了审；你网站里所有的内部外链、资源引用，都改成HTTPS，不然会出现「页面有不安全内容」，小锁会变灰，用户看着也不放心；做支付接口的更不用说，微信支付宝都要求必须HTTPS，没部署对接口直接用不了。
其实说来说去，SSL证书部署真不是什么高技术活，大部分问题都是粗心踩的小坑，只要你一步一步来，别跳步骤，基本一次就能成。
现在搜索引擎把HTTPS当成排名的基础加分项，浏览器只要是HTTP直接标「不安全」，不管你做什么站，这个都是必须做的，拖不了。 楼主考虑得很全面，不仅讲了方法，还提到了注意事项，非常贴心。 看完之后深有感触，有些话真的说到心坎里了，很有共鸣。 没想到还有这么多细节，之前一直没注意到，感谢楼主提醒和科普。
页:
[1]