SSL证书这件事说难不难说简单也真有不少坑。前阵子帮朋友调试一台服务器他刚部署完网站浏览器地址栏却一直挂着不安全的红色标记排查半天发现就是证书链没配全。后来我直接帮他申请了免费证书几分钟搞定问题迎刃而解。其实现在免费SSL证书的申请路径已经很成熟了从个人博客到中小企业官网完全没必要上来就花几百上千块买付费证书。这篇文章我就把手上的实测经验整理出来从证书类型选择、免费渠道对比、申请流程、服务器配置到常见报错排查一次讲透。1. 免费SSL证书到底靠不靠谱先搞清楚证书类型和适用范围先说结论免费证书完全够用但前提是你得知道它在整个证书体系里处于什么位置。SSL/TLS证书按验证等级可以分成三类域名验证型DV、组织验证型OV和扩展验证型EV。免费证书全部属于DV类型也就是只验证你对域名的控制权。验证方式通常是你在域名解析里加一条TXT记录或者在网站根目录放一个指定文件CA机构确认你能控制这个域名就签发证书。对应的OV证书会验证企业的真实身份信息证书详情里能看到公司名称浏览器地址栏会显示企业名。EV证书是最高级别地址栏会直接显示绿色公司名称多见于银行、大型电商这类对信任要求极高的场景。普通个人网站、技术博客、中小企业的展示官网、API接口、测试环境用免费DV证书完全没问题。浏览器对DV证书和OV证书的加密强度看待是一样的地址栏都能正常显示小锁标志。DV证书缺的只是这公司真实存在的信息不是加密能力。免费证书还有一个特别务实的使用场景内网系统、开发环境、临时演示环境。反正公网不暴露用自签名证书也能解决加密问题但自签名证书会有浏览器不信任的警告免费证书能消除这个警告体验好很多。我在给客户做交付演示时就遇到过这种情况——用IP访问自签名证书还行但一旦对方浏览器比较严格警告弹窗就很尴尬。不过免费证书有几个明确的短板需要提前知晓有效期短。主流免费证书都是90天有效期个别云厂商能提供1年期的免费证书但续期机制各不相同。不支持通配符或仅支持单域名。泛域名证书*.example.com在免费阵营里几乎拿不到Lets Encrypt虽然可以申请但也是90天续期国内云厂商的免费版泛域名早就取消了。没有人工客服。企业用户如果证书出问题付费证书可以找客服加急处理免费证书只能自己看文档。所以我的建议是个人项目、小型站点直接用免费证书涉及交易、隐私信息、品牌信任的中大型项目该上OV还是得花钱。免费证书不是能用就行的妥协而是在合适的场景下最合理的工程选择。2. 主流免费证书申请渠道横向对比阿里云、腾讯云、Lets Encrypt怎么选国内用户申请免费SSL证书渠道基本就是三类阿里云、腾讯云这类国内云厂商以及Lets Encrypt这个全球最大的免费CA机构。下面把我实测过的几个渠道列个表格方便你直接对照选型。渠道证书类型有效期域名限制自动续期申请方式阿里云数字证书管理服务DV12个月单域名不支持自动续期需手动重新申请控制台操作验证DNS或文件腾讯云SSL证书DV12个月单域名不支持自动续期需手动重新申请控制台操作验证DNS或文件Lets EncryptCertbotDV90天单域名/多域名/通配符支持cron定时续期服务器命令行操作acme.shDV90天单域名/多域名/通配符支持定时任务续期服务器命令行操作ZeroSSLDV90天单域名/多域名支持可通过工具续期网页或命令行均可国内云厂商的优势是申请流程对小白友好全程在控制台点鼠标而且签发的证书有效期是12个月少折腾两轮续期。但需要注意现在阿里云免费证书的额度有变化个人身份一年能申请的免费证书数量是有限制的且仅限单域名不支持通配符和IP地址。如果域名比较多额度不够用那就得走Lets Encrypt这条线了。Lets Encrypt的优势是全自动、免费、开放通过Certbot或acme.sh客户端就能申请、安装、自动续期一站式搞定。缺点是90天有效期要求你必须有定时续期的机制一旦断了证书过期就会导致网站访问异常。我的建议按场景分图省事、域名少、一年换一次可以接受选阿里云或腾讯云控制台点几下完事。服务器多、域名多、希望全自动化直接上Lets Encrypt Certbot/acme.sh。有通配符需求*.example.com国内云免费版已经不支持了老老实实用Lets Encrypt或ZeroSSL。只是本地测试或内网使用可以不申请公网免费证书用自签名证书临时凑合后面我会专门讲自签名的生成方法。另外还有一个容易被忽略的点证书签发速度。云厂商的DV证书申请后通常需要几分钟到几十分钟不等有时候DNS解析生效慢等半小时也是常事。Lets Encrypt的签发速度基本在几十秒内完成体感上快很多。3. 手把手实操零成本申请云厂商免费SSL证书为了覆盖大多数人的使用习惯这一节先说国内云厂商的申请流程下一节再讲Lets Encrypt全自动方案。不管用哪家核心步骤都是创建证书申请 - 验证域名所有权 - 下载证书 - 配置到服务器。3.1 阿里云免费证书申请流程登录阿里云控制台在顶部搜索框输入数字证书管理服务进入证书服务页面。左侧菜单找到SSL证书点击证书申请。如果之前的免费额度用完了界面会提示你先领取免费证书额度按指引领一下即可。进入申请页面后需要填的项目有证书类型选择单域名。绑定域名填入你的实际域名例如 example.com注意不带 www 和 https://。验证方式推荐选DNS验证后面解析一条TXT记录就能完成如果网站已经部署好了也可以选文件验证在网站根目录放一个指定文件。联系人信息填自己的邮箱和手机号用于接收证书到期提醒。这一项容易被忽略建议一定填准确不然证书到期前收不到提醒哪天网站突然打不开才反应过来。提交申请后系统会生成一条验证信息。如果选择了DNS验证需要去域名解析服务商处添加一条TXT记录记录类型、主机记录、记录值在申请详情页都能看到。在阿里云解析添加后通常几分钟内验证通过其他家DNS解析商可能会慢一些。证书签发后在证书列表里点击下载会看到不同服务器类型的证书包包括Nginx、Apache、IIS、Tomcat等。这里有个小细节Nginx的证书包下载下来是两个文件一个后缀是 .pem证书公钥一个后缀是 .key私钥这两个文件后续配置Nginx时要用到。下载完成后把压缩包解压上传到服务器放在一个安全的目录里建议放到/etc/ssl/或/etc/nginx/cert/下并把私钥文件的权限设置为600避免其他用户读取。3.2 腾讯云免费证书申请流程腾讯云的流程和阿里云高度类似登录后搜索SSL证书进入证书管理控制台点击申请免费证书。同样需要选择域名、填写验证方式。腾讯云的优势在于验证比较智能如果域名解析就在腾讯云DNSPodDNS验证可以一键完成不用手动添加记录。如果域名在其他服务商则还是需要手动添加TXT。签发速度上两家差距不大基本都在几分钟内。腾讯云下载的Nginx证书包同样包含 .crt 和 .key 两个文件作用对应阿里云的 .pem 和 .key。其实 .crt 和 .pem 本质都是PEM编码的证书文件只是扩展名不同内容格式基本一致Nginx配置时用哪个后缀都能生效别搞混就行。3.3 域名在Cloudflare等海外DNS商时的验证提示这里有个常见卡点如果你的域名解析用的是Cloudflare或其他海外DNS服务商在云厂商后台申请证书时选择DNS验证会要求你添加TXT记录。海外DNS商的解析生效速度整体还可以但有时Cloudflare代理模式下解析记录生效会慢一些。遇到验证迟迟不通过的情况先用在线DNS查询工具确认TXT记录是否已经全球生效确认生效后再点验证按钮。另外需要注意如果域名开了Cloudflare的橙色云朵代理即CDN代理证书申请时用的TXT验证记录不受影响因为TXT验证走的是DNS层。但是后续证书配置到源站时需要保证源站本身也配置了证书否则用户访问时是Cloudflare的证书在起作用源站和Cloudflare之间的链路就是明文HTTP了。4. 全自动方案Certbot申请Lets Encrypt证书并配置Nginx如果你有多台服务器、多个域名或者不想每年手动去云厂商控制台点一遍流程那Certbot这个工具值得认真学一下。它把申请、安装、自动续期全部打通一条命令就能完成大部分工作。我在一台Ubuntu 20.04的服务器上实测过整个流程下面按步骤拆解。4.1 安装Certbot和Nginx插件先用SSH登录服务器更新软件源后安装Certbotsudo apt update sudo apt install certbot python3-certbot-nginx -y这里的python3-certbot-nginx是Nginx插件安装后Certbot能自动修改Nginx配置省去手动编辑步骤。如果你的服务器是CentOS命令对应换成yum install certbot python3-certbot-nginx。注意老版本CentOS 7自带的Python版本较低Certbot可能无法正常安装建议先升级Python到3.6以上或者直接使用官方提供的snap安装方式。4.2 申请证书的三种方式选择Certbot支持多种验证方式最常用的是这几种方式一Nginx插件推荐前提是网站已经跑在Nginx上sudo certbot --nginx -d example.com -d www.example.comCertbot会自动检测Nginx配置临时修改配置完成验证然后自动获取证书并修改Nginx配置启用HTTPS。全程交互式问答会问是否强制跳转HTTP到HTTPS选是就好。方式二Webroot适合Nginx插件不兼容的情况sudo certbot certonly --webroot -w /var/www/html -d example.com-w参数指定网站根目录Certbot会在该目录下创建临时验证文件。这种方式只申请证书不修改Nginx配置证书申请完你自己手动去改配置文件。适合不能用Nginx插件自动修改配置的场景。方式三Standalone适合证书申请时Nginx是停止状态sudo systemctl stop nginx sudo certbot certonly --standalone -d example.com sudo systemctl start nginxStandalone模式会临时占用80端口进行验证所以必须确保80端口没有被占用。如果你的服务器上还跑着其他Web服务就不适合用这种方式。实际使用中我最推荐第一种因为Certbot会自动备份和修改Nginx配置几乎无感。但如果你是强迫症希望所有配置都在自己掌控下可以用第二种或第三种证书申请完后手动配置。4.3 证书文件生成后去哪了不管用哪种方式申请成功后的证书文件都会生成在/etc/letsencrypt/live/example.com/目录下里面有四个文件fullchain.pem完整证书链包含站点证书和CA中间证书Nginx配置时用这个。privkey.pem私钥文件一定不能泄露。cert.pem站点证书不含中间证书通常用不上。chain.pemCA中间证书某些特定场景可能用到。这个目录结构是Certbot的标准布局后面续期时文件会自动更新路径保持不变。还有一点需要注意这些文件实际上是指向/etc/letsencrypt/archive/example.com/下带时间戳文件的软链接所以千万别手欠去改里面的内容。5. Nginx配置SSL证书配置模板与容易踩的坑拿到证书文件后接下来的重头戏就是配置Nginx。这块也是问题重灾区我见过太多人卡在证书配置后网站无法访问或者浏览器报错。5.1 基础的SSL配置模板以下是我在多个生产环境验证过的一套Nginx SSL配置模板直接复制改一下域名和证书路径就能用server { listen 80; server_name example.com www.example.com; # 将HTTP请求永久重定向到HTTPS return 301 https://$host$request_uri; } server { listen 443 ssl; http2 on; server_name example.com www.example.com; # 证书文件路径 ssl_certificate /etc/letsencrypt/live/example.com/fullchain.pem; ssl_certificate_key /etc/letsencrypt/live/example.com/privkey.pem; # 现代浏览器推荐的SSL配置 ssl_protocols TLSv1.2 TLSv1.3; ssl_ciphers ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:DHE-RSA-AES128-GCM-SHA256:DHE-RSA-AES256-GCM-SHA384; ssl_prefer_server_ciphers off; # 开启OCSP Stapling提高TLS握手性能 ssl_stapling on; ssl_stapling_verify on; ssl_trusted_certificate /etc/letsencrypt/live/example.com/chain.pem; # 其他站点配置 root /var/www/html; index index.html index.htm; location / { proxy_pass http://127.0.0.1:8080; proxy_set_header Host $host; proxy_set_header X-Real-IP $remote_addr; proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for; proxy_set_header X-Forwarded-Proto $scheme; } }配置完执行sudo nginx -t检查语法确认无误后sudo systemctl reload nginx生效。这里特别说明几个容易忽略的坑坑一http2 on 的兼容性。新版Nginx1.25.1及以上推荐用http2 on;旧版本用listen 443 ssl http2;。如果你用的是老版本Nginx直接写 listen 443 ssl http2 即可照抄新写法反而会报错。坑二全套ssl_trusted_certificate。这个配置用于OCSP Stapling功能让Nginx在TLS握手时直接返回证书吊销状态的查询结果省去客户端自己查询的开销。不配不会报错但性能会差一点。配的时候要用chain.pem而不是fullchain.pem否则会报证书链错误。坑三反代WebSocket或GRPC。如果你反代的是WebSocket服务需要额外增加升级头部的配置location / { proxy_pass http://127.0.0.1:8080; proxy_http_version 1.1; proxy_set_header Upgrade $http_upgrade; proxy_set_header Connection upgrade; }否则WebSocket连接会失败浏览器控制台报错信息还不明显排查半天。5.2 强制HTTPS跳转的正确姿势上面模板里已经在80端口做了301跳转这是最常见的做法。但有些朋友会把跳转写在443端口的server块里比如server { listen 443 ssl; server_name example.com; if ($scheme http) { return 301 https://$host$request_uri; } }这种写法是错的因为listen 443的server块本身只在HTTPS请求时才会被匹配$scheme永远都是httpsif判断永远不会成立。正确的做法就是单独写一个80端口的server块做跳转简单直接。另外有一种情况也要特别注意如果你用了CDN服务CDN默认会回源到80端口强制跳转会变成用户访问CDN - CDN回源80 - 源站跳转到443 - CDN又请求443 - 源站返回类似一个循环但实际能通就是多一次往返。更稳妥的做法是在CDN的HTTPS设置里开启回源跟随301/302或者在源站Nginx里对CDN的请求不做跳转。5.3 证书文件权限设置证书的私钥文件一定要限制权限否则任何系统用户都能读到等于你的HTTPS加密形同虚设。建议设置如下sudo chmod 600 /etc/letsencrypt/live/example.com/privkey.pem sudo chmod 644 /etc/letsencrypt/live/example.com/fullchain.pem sudo chmod -R o-rwx /etc/letsencrypt/archive/需要说明的是Certbot默认生成的权限已经比较安全一般不需要手动改。但如果你是从云厂商下载证书后自己上传的这块一定检查到位。6. 免费证书自动续期别让证书过期打了自己的脸免费证书和付费证书最大的使用差异就在续期环节。付费证书动不动一年起续期频率低忘记续期的概率小。免费证书90天就到期不搞自动续期纯靠人工记忆迟早出问题。我有一次就是忘了续期凌晨网站打不开用户反馈过来才知道证书过期了那种尴尬经历过一次就再也不想碰了。6.1 Certbot续期机制Certbot自带续期方案核心就一条命令sudo certbot renew它会检查所有由Certbot管理的证书如果距离过期不足30天就执行续期操作否则跳过。因此在crontab或者systemd timer里定时执行这条命令就能实现全自动续期。配置crontab的方式sudo crontab -e加入以下内容# 每天凌晨2点检查一次证书是否快要过期Cerbot内部会判断是否续期 0 2 * * * certbot renew --quiet --renew-hook systemctl reload nginx解释一下这个crontab每天凌晨2点执行续期检查--quiet表示没有异常时不输出日志--renew-hook表示续期成功后才执行后面那条命令——reload Nginx让新证书生效。这个设计很巧妙证书没有续期时Nginx不会被无意义地reload。6.2 用systemd timer替代crontab如果你用的是较新的Ubuntu/CentOS系统更推荐用systemd timer因为它比crontab更可靠还能自动记录日志。创建服务文件/etc/systemd/system/certbot-renew.service[Unit] DescriptionCertbot Renewal Service [Service] Typeoneshot ExecStart/usr/bin/certbot renew --quiet --renew-hook /bin/systemctl reload nginx创建certbot-renew.timer[Timer] OnCalendar*-*-* 02:00:00 Persistenttrue [Install] WantedBytimers.target然后启用定时器sudo systemctl daemon-reload sudo systemctl enable certbot-renew.timer sudo systemctl start certbot-renew.timerPersistenttrue意味着即使服务器在那个时间点关机了下一次开机后也会补执行一次续期检查这个特性比crontab更安全。6.3 云厂商免费证书的续期问题如果你用的是阿里云或腾讯云的一年期免费证书它们都不支持自动续期。到期前需要在控制台重新走一遍申请流程然后在服务器上替换证书文件并reload Nginx。我的建议是直接在日历上设置提前一个月的提醒或者干脆在代码里写一个监控脚本每日检查证书剩余有效期少于30天时向邮箱或钉钉群发送告警。检查证书有效期的命令很简单openssl x509 -enddate -noout -in /path/to/cert.pem输出类似notAfterJun 15 12:00:00 2025 GMT一目了然。7. SSL证书报错排查实战从浏览器到服务端一次过证书配好不等于万事大吉实际使用中各种报错层出不穷。我把几类最常见的报错整理出来方便你对照排查。7.1 浏览器报证书不受信任或您的连接不是私密连接这类问题的原因很集中证书链不完整。浏览器拿到站点证书后需要向上追溯信任链直到根证书如果中间证书没配信任链就断了。解决方案是Nginx配置里使用fullchain.pem而不是cert.pem。很多人从云厂商下载证书后只上传了站点证书忘记带上中间证书就会出这个问题。验证方法用在线SSL检测工具或者本地命令行检查openssl s_client -connect example.com:443 -servername example.com输出内容里找到Certificate chain部分正常情况应该是两行或三行分别对应站点证书和中间证书。如果只有一行说明中间证书缺失。7.2 证书不完整或证书链问题同样与证书链有关。在某些场景下比如配置了ssl_trusted_certificate但指向了错误的文件会导致OCSP查询失败。最简单的解决方式就是检查Nginx配置里ssl_certificate是否指向fullchain.pem。如果指向的是单独的cert.pem立刻换成fullchain.pem再reload。7.3 浏览器提示日期无效或证书已过期分两种情况一种是真的过期了用上面的openssl x509 -enddate命令查询实际过期时间换新证书即可。另一种是服务器系统时间不对服务器时间比实际时间快或慢导致证书校验失败。尤其是一些云服务器默认时区设置不正常会造成时间偏差。date -R如果发现时间不对用NTP同步一下sudo timedatectl set-ntp true7.4 客户端报SSL connection required but not provided by server这个报错常见于MySQL或PostgreSQL连接场景。数据库服务端开启了SSL加密但没有指定证书或者客户端连接时没有带SSL参数。之前配置MySQL时我也踩过这个坑。需要在MySQL配置文件里增加SSL证书路径[mysqld] ssl-ca/etc/mysql/ssl/ca.pem ssl-cert/etc/mysql/ssl/server-cert.pem ssl-key/etc/mysql/ssl/server-key.pem客户端连接时显式指定加密方式mysql -h your-host -u user -p --ssl-modeREQUIRED如果是Java应用连接MySQLJDBC URL里需要加上useSSL参数jdbc:mysql://host:3306/dbname?useSSLtruerequireSSLtrue实例测试中很多新手连接时报错就是这个原因数据库服务端明明开了SSL支持但证书没配或者客户端参数不对导致握手失败。7.5 本地调试工具的证书错误用Charles、Fiddler、mitmproxy这些抓包工具时手机或电脑上安装了Charles的根证书但抓包HTTPS流量还是报Unknown或证书不受信任这种问题大部分不是证书本身的问题而是设备没有完全信任安装的根证书。安卓设备需要在设置里找到加密与凭据 - 信任的凭据 - 用户凭据确认证书已启用。部分安卓版本还需要在应用的网络安全配置里允许用户证书否则即使系统信任了证书应用默认也不会信任。排查这类问题有个口诀先确认证书装了对不对再确认是不是被App的安全策略拦了。7.6 用在线工具辅助排查排查SSL问题时推荐用下面这些工具配合使用myssl.com国产站点能检测证书链、协议、加密套件检查结果很详细。sslabs.com/ssltest国际权威SSL检测站信息量极大能直接看出证书链是否完整、OCSP是否正常、是否存在已知漏洞。openssl s_client命令行最快最直接的排查工具适合在服务器上实时确认证书内容。其中openssl s_client是最值得熟练掌握的。比如排查配置的证书是不是最新签发的执行命令后看subject和issuer字段就能确认。如果配置了证书但服务器还是用旧证书十有八九是Nginx没reload或者浏览器缓存。8. 进阶玩法自签名证书、多域名证书和IP证书的救急方案最后补充几个常见但免费证书解决不了的场景以及对应的救急方案。8.1 内网环境的自签名证书openssl一行生成很多内网系统不对外提供服务申请公网签发证书也不现实这个时候就可以用自签名证书实现加密通信。自签名证书的缺点是客户端不会自动信任需要在设备上手动导入证书才能消除警告。生成自签名证书的命令openssl req -x509 -nodes -days 365 -newkey rsa:2048 \ -keyout self-signed.key \ -out self-signed.crt \ -subj /CCN/STBeijing/LBeijing/OMyOrg/CNserver.example.com关键参数说明-days 365有效期一年按需修改。-newkey rsa:2048生成2048位的RSA密钥安全性足够。-subj证书主体信息CN字段一定要写访问服务器时用的域名或IP不然浏览器会报名称不匹配。Nginx里加载自签名证书的配置方式和正规证书一样还是ssl_certificate和ssl_certificate_key两个指令。8.2 多域名证书怎么免费拿到Lets Encrypt支持一次性签发多域名证书Certbot命令里写多个-d参数就行sudo certbot certonly --webroot -w /var/www/html \ -d example.com -d www.example.com -d api.example.com -d blog.example.com签发后一张证书包含四个域名配置时依然指向同一个fullchain.pem。需要注意免费证书的单张多域名数量有限制Lets Encrypt单张最多包含100个域名实际使用中一般够用了。云厂商的一年期免费证书基本都是单域名不支持多域名所以需要多域名或通配符时优先考虑Certbot方案。不过在实际操作中我更推荐将多个域名分开申请每个域名单独一张证书。原因有三个管理简单、续期互不影响、单域名证书可以自由撤销而不影响其他域名。多域名证书在续期和撤销时的操作复杂度反而更高。8.3 没有域名只有IP地址怎么办免费DV证书签发的对象是域名不能直接签IP。如果你只有服务器IP没有域名有几个方案最简单的买一个便宜域名绑定到这台服务器。国内域名需要备案海外域名则无此限制。用自签名证书然后在客户端导入信任。适合个人开发调试不适合生产环境。部分CA厂商比如ZeroSSL支持IP证书申请但通常需要付费。我的个人建议是只要条件允许就注册域名哪怕只是为了SSL证书这件事也是值得的。域名本身成本不高带来的灵活性和信任度的提升是纯IP方案无法替代的。做SSL证书这件事我的整体感受是免费证书的成熟度已经让HTTPS化变成一件低成本、高覆盖的工程任务。无论你是个人爱好者、中小站长还是公司运维选对渠道、配好自动续期、掌握基本的排查命令就足够应对绝大多数场景了。文中所有命令和配置都是我在不同服务器上反复验证过的直接照着做基本不会出大问题。真要遇到特殊情况优先看Nginx的错误日志和openssl s_client的输出大多数问题都能在这些信息里找到答案。
