当前位置： 首页 > news >正文

HTTPS 证书配置完全指南：从申请到自动化续期

news 2026/4/28 16:37:48

前言：为什么需要 HTTPS？

在当今互联网环境下，HTTPS 已经不是可选项，而是必选项。浏览器会将 HTTP 网站标记为“不安全”，影响用户信任；搜索引擎也会给予 HTTPS 网站更高的排名权重。更重要的是，HTTPS 能保护用户数据不被窃听、篡改，防止中间人攻击。

本文将全面介绍 HTTPS 证书的配置方案，涵盖从证书申请、部署到自动化续期的完整流程。

一、HTTPS 证书类型选择

在开始配置之前，首先需要了解不同类型的证书及其适用场景。

证书类型验证级别适用场景典型获取成本
DV（域名验证）仅验证域名所有权个人博客、测试环境免费（如 Let's Encrypt）
OV（组织验证）验证企业身份企业官网、商业网站几百元/年
EV（扩展验证）严格法律验证银行、支付、大型电商上千元/年
通配符证书覆盖 *.domain.com多子域名场景数百至数千元

推荐方案：

  • 个人/小型项目：Let's Encrypt 免费 DV 证书+ 自动化续期

  • 企业官网：OV 证书，建立用户信任

  • 多子域名场景：通配符证书，单证书覆盖所有子域

二、免费方案：Let's Encrypt + Certbot

Let's Encrypt 是目前最主流的免费证书颁发机构，由 Linux 基金会、Google、Mozilla 等共同支持，证书有效期 90 天，支持自动化续期。

2.1 环境准备

bash

# Ubuntu/Debian 系统 sudo apt update sudo apt install certbot python3-certbot-nginx # Nginx 版本 # 或 sudo apt install certbot python3-certbot-apache # Apache 版本 # CentOS/RHEL sudo dnf install certbot python3-certbot-nginx # macOS brew install certbot

2.2 获取证书

方式一：自动配置（推荐，适用于标准配置）

bash

# Nginx 自动配置 sudo certbot --nginx -d example.com -d www.example.com # Apache 自动配置 sudo certbot --apache -d example.com -d www.example.com

Certbot 会自动：

  • 验证域名所有权

  • 获取证书

  • 自动修改 Web 服务器配置启用 HTTPS

  • 配置自动续期 cronjob

方式二：手动获取证书（适用于非标准环境）

bash

# 仅获取证书，不自动配置 sudo certbot certonly --standalone -d example.com -d www.example.com

证书将保存在：

  • /etc/letsencrypt/live/example.com/fullchain.pem（证书链）

  • /etc/letsencrypt/live/example.com/privkey.pem（私钥）

2.3 手动配置 Web 服务器

Nginx 配置示例

nginx

server { listen 443 ssl http2; listen [::]:443 ssl http2; server_name example.com www.example.com; # 证书路径 ssl_certificate /etc/letsencrypt/live/example.com/fullchain.pem; ssl_certificate_key /etc/letsencrypt/live/example.com/privkey.pem; # 安全增强配置（重要！） ssl_protocols TLSv1.2 TLSv1.3; ssl_ciphers ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256; ssl_prefer_server_ciphers off; # HSTS - 强制浏览器使用 HTTPS add_header Strict-Transport-Security "max-age=63072000" always; # 其他安全头 add_header X-Frame-Options DENY; add_header X-Content-Type-Options nosniff; root /var/www/html; index index.html; } # HTTP 重定向到 HTTPS server { listen 80; listen [::]:80; server_name example.com www.example.com; return 301 https://$server_name$request_uri; }
Apache 配置示例

apache

<VirtualHost *:443> ServerName example.com ServerAlias www.example.com SSLEngine on SSLCertificateFile /etc/letsencrypt/live/example.com/fullchain.pem SSLCertificateKeyFile /etc/letsencrypt/live/example.com/privkey.pem # 安全配置 SSLProtocol all -SSLv3 -TLSv1 -TLSv1.1 SSLCipherSuite ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256 SSLCompression off DocumentRoot /var/www/html </VirtualHost> <VirtualHost *:80> ServerName example.com Redirect permanent / https://example.com/ </VirtualHost>

2.4 自动化续期

Let's Encrypt 证书有效期 90 天，必须自动续期。Certbot 安装时会自动添加 cronjob：

bash

# 测试续期是否正常 sudo certbot renew --dry-run # 手动执行续期 sudo certbot renew # 查看续期定时任务 systemctl list-timers | grep certbot # 或 crontab -l

默认续期脚本位置：

  • /etc/cron.d/certbot

  • /etc/systemd/system/certbot.timer

三、商业证书部署方案

对于企业场景，通常会购买商业证书（如 DigiCert、Sectigo、GlobalSign）。商业证书有效期通常为 1-2 年，验证流程更严格。

3.1 获取商业证书后的文件

一般会提供以下几个文件：

  • server.crt- 服务器证书

  • intermediate.crt- 中间证书

  • ca_bundle.crt- 根证书链

  • server.key- 私钥（自己生成并保管）

3.2 合并证书链

很多 Web 服务器需要完整的证书链文件：

bash

# 合并服务器证书和中间证书 cat server.crt intermediate.crt ca_bundle.crt > fullchain.pem # 确保私钥权限安全 chmod 600 server.key chmod 644 fullchain.pem

3.3 Nginx 配置商业证书

nginx

server { listen 443 ssl http2; server_name example.com; ssl_certificate /path/to/fullchain.pem; ssl_certificate_key /path/to/server.key; # 其余配置同免费方案 }

四、高级配置方案

4.1 通配符证书配置

通配符证书允许一个证书覆盖主域名及其所有一级子域名，例如*.example.com可覆盖www.example.com、api.example.com、blog.example.com。

通过 DNS 验证获取通配符证书（Let's Encrypt）：

bash

# 使用 DNS 验证模式 sudo certbot certonly --manual --preferred-challenges dns -d "*.example.com" -d example.com

脚本会提示添加一条 TXT 记录到 DNS。验证通过后即可获取通配符证书。

手动配置通配符证书时无需特殊配置，Nginx 中正常配置即可：

nginx

server { server_name ~^(?<sub>.+)\.example\.com$; # 或使用通配符 server_name *.example.com; }

4.2 CDN 场景下的证书配置

当网站使用 CDN（CloudFlare、阿里云 CDN、CloudFront 等）时，需要考虑信任链问题：

方案一：源站自签名证书 + CDN 边缘证书

  • CDN 边缘使用正式证书

  • 源站到 CDN 之间使用自签名证书

方案二：源站部署正式证书

  • 更安全，推荐使用

  • Let's Encrypt 证书即可

CloudFlare 特别方案：
CloudFlare 提供 15 年有效期的源站证书，可在 CDN 后台生成并安装到源站：

nginx

# CloudFlare 源站证书配置 ssl_certificate /etc/nginx/ssl/origin-pull.pem; ssl_certificate_key /etc/nginx/ssl/origin-pull.key; # 限制仅允许 CloudFlare IP 访问源站（可选） allow 173.245.48.0/20; allow 103.21.244.0/22; # ... 添加所有 CloudFlare IP 段 deny all;

4.3 内部网络证书（自签名 CA）

内网环境可以使用自签名 CA 签发证书，避免浏览器警告（需将 CA 证书导入客户端）。

bash

# 生成 CA 私钥 openssl genrsa -out ca.key 4096 # 生成 CA 证书（有效期 10 年） openssl req -x509 -new -nodes -key ca.key -sha256 -days 3650 -out ca.crt # 为内网域名生成证书签名请求 openssl genrsa -out server.key 2048 openssl req -new -key server.key -out server.csr # 使用 CA 签发证书 openssl x509 -req -in server.csr -CA ca.crt -CAkey ca.key \ -CAcreateserial -out server.crt -days 365 -sha256

五、安全配置最佳实践

5.1 SSL/TLS 安全基准配置

nginx

# 推荐的安全配置（Nginx） ssl_protocols TLSv1.2 TLSv1.3; # 禁用 TLS 1.0/1.1 ssl_ciphers 'ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384'; ssl_prefer_server_ciphers off; # 允许客户端选择更优密码套件（TLSv1.3 要求） ssl_session_timeout 1d; ssl_session_cache shared:SSL:50m; ssl_session_tickets off; # OCSP Stapling（提升握手速度） ssl_stapling on; ssl_stapling_verify on; ssl_trusted_certificate /etc/letsencrypt/live/example.com/chain.pem;

5.2 使用 SSL Labs 测试

配置完成后，务必使用 SSL Labs 进行 A+ 评级测试：

bash

# 也可使用命令行工具快速检查 openssl s_client -connect example.com:443 -tls1_2

5.3 定期检查证书过期

bash

# 检查证书过期时间 echo | openssl s_client -servername example.com -connect example.com:443 2>/dev/null | openssl x509 -noout -dates # 设置监控告警（通过监控系统） # Prometheus + blackbox_exporter 可配置证书过期告警

六、常见问题与故障排查

Q1：证书申请失败：“Challenge failed for domain”

可能原因及解决：

  1. DNS 解析延迟：使用 DNS 验证时，等待几分钟再试

  2. HTTP 验证时端口 80 被占用：--standalone模式需要 80/443 端口

  3. 防火墙阻挡：确保 80/443 端口可访问

Q2：浏览器提示“不完整的证书链”

解决方法：

bash

# 检查证书链是否完整 openssl s_client -connect example.com:443 -showcerts # 确保 Nginx 配置包含 fullchain.pem（含中间证书） ssl_certificate /etc/letsencrypt/live/example.com/fullchain.pem;

Q3：移动端或旧系统无法访问

需要支持旧设备时，可降级 TLS 版本（不推荐）：

nginx

# 兼容 Android 4.x / iOS 8 以下 ssl_protocols TLSv1 TLSv1.1 TLSv1.2; # 但建议：如果是公开服务，不要这样做

Q4：重定向循环问题

检查是否有多个重定向配置，例如：

  • Nginx 配置了 HTTP→HTTPS 重定向

  • 应用框架（WordPress、Django）也配置了强制 HTTPS

解决：只在一处配置重定向。

七、总结与方案选型建议

场景推荐方案成本运维复杂度
个人博客/静态站Let's Encrypt + Nginx免费低（完全自动）
公司官网OV 商业证书中等低（年付）
多服务/K8s 环境cert-manager + Let's Encrypt免费中（需 K8s 知识）
内网环境自签名 CA免费中（需分发 CA）
CDN 源站CloudFlare 源站证书免费低
金融/支付类EV 证书高低

最后的建议：

  1. 优先使用 Let's Encrypt + 自动化续期，免费且安全足够

  2. 任何时候都不要禁用安全配置以“兼容”老旧系统

  3. 启用 HSTS，但注意一旦启用，后续切换回 HTTP 的用户会有困难

  4. 建议配置证书过期监控，避免证书过期导致服务中断

*本指南配置示例基于 Nginx 1.20+ / Certbot 2.0+ / Let's Encrypt 最新规范，发布于 2025 年。如有更新，请以官方文档为准。*

http://www.jsqmd.com/news/714706/

相关文章：

  • 2026年昆明代理记账与工商变更全生命周期服务深度评测：云南本土企业财税合伙人选型指南 - 优质企业观察收录
  • TDA4VM与J721E选型指南：手把手教你评估算力、成本与开发周期，避开‘印度支持’的坑
  • 从vfork到写时复制：深入Linux进程创建的底层机制与性能选择
  • 网络安全学习第172天
  • 别再只用mdadm了！试试用LVM命令lvcreate直接创建RAID5阵列（附详细参数解析）
  • C++ com编程学习详解
  • 别再死记硬背了！用Vector Davinci Configurator实战理解AutoSar RTE的S/R Port
  • 为什么你的C++控制模块通不过ISO 26262 ASIL-B评审？（2024最新SGS审核清单+12处隐性非符合项逐行标注）
  • 跨平台鼠标自动化：提升工作效率的智能解决方案
  • 2026年云南代理记账与昆明工商变更全生命周期服务深度横评指南 - 优质企业观察收录
  • 3步智能配置黑苹果：OpCore-Simplify零基础EFI生成解决方案
  • 告别反向传播？Hinton新论文里的Forward-Forward算法，到底是个啥？
  • Unity卡牌游戏实战：用贝塞尔曲线实现《杀戮尖塔》同款拖拽引导箭头（附完整C#脚本）
  • 避坑指南：UG NX二次开发中MoveObjectBuilder的5个常见错误与调试技巧
  • 如何在Mac上免费实现NTFS完美读写？Free-NTFS-for-Mac终极指南
  • 终极指南：如何用Python API与你的汽车对话
  • 【Docker AI Toolkit 2026权威白皮书】：首次公开核心架构图、GPU调度引擎升级与LLM微调流水线重构细节
  • 如何5分钟掌握PPTist：在线免费PPT制作工具全解析
  • Deepseek推广TOP5测评：2026年新媒体发稿平台权威榜单发布 - 博客湾
  • 别再只会调大内存了！Node.js内存溢出FATAL ERROR的终极排查与修复指南
  • 告别Cesium地形加载慢！用Docker+CTB快速切片你的DEM数据（保姆级教程）
  • 告别云端依赖！OpenStation 大模型本地部署，携手 OpenCode 重构 AI 编程全流程
  • 【国家级等保2.0合规必读】：Java多租户6大隔离模式对比实测（TPS/内存/审计粒度三维压测数据公开）
  • 别再怕浪涌了！手把手教你用光耦和比较器给220V交流电做‘心脏监护’（过零检测实战）
  • 贵州蓝马会务会展服务：贵州舞台搭建哪家好 - LYL仔仔
  • 如何用CheatEngine-DMA插件实现终极内存修改：5步完整指南
  • **MLX-4bit 量化版未进行独立评测：KyleHessling1/Qwopus-GLM-18B-Healed-MLX-4bit**
  • Vue CLI代理配置进阶：从单后端到多服务联调，你的devServer.proxy真的写对了吗？
  • CodeCombat终极指南：如何在游戏中快速掌握编程技能
  • 广西大学机械复试上岸学长亲授：从材料准备到导师联系，这份保姆级避坑指南请收好