武汉 SSL 证书申请与部署指南：HTTPS 加密全流程

为什么网站必须 HTTPS 化？

HTTPS（HTTP over SSL/TLS）已成为现代网站的标配，原因如下：

🔒 1. 数据加密，防止窃听

HTTP 明文传输，用户在网站上输入的账号、密码、信用卡号等信息，可能被黑客在网络节点截获。HTTPS 通过 SSL/TLS 加密，即使数据被截获也无法解密。

✅ 2. 身份认证，防止钓鱼

SSL 证书由受信任的 CA（证书颁发机构）签发，证明网站的真实身份。用户看到浏览器地址栏的锁形图标，就知道这是正规网站而非钓鱼网站。

📈 3. SEO 排名提升

百度和谷歌都明确表示：HTTPS 是搜索排名的正向因素。两个内容质量相当的网站，HTTPS 的那个排名会更靠前。

🚫 4. 浏览器不再标记"不安全"

从 Chrome 68 开始，所有 HTTP 网站都会被标记为"不安全"（地址栏显示警告图标）。这会严重影响用户对网站的信任度。

📱 5. 微信小程序强制要求

微信小程序要求后端接口必须使用 HTTPS，否则无法调用。对于想做小程序生态的武汉企业，这是硬性门槛。

SSL 证书类型选择

根据验证严格程度，SSL 证书分为三类：

📄 DV 证书（Domain Validation）

验证方式：仅验证域名所有权（通过 DNS 解析或邮件验证）

签发时间：5-10 分钟

价格：免费 -500 元/年

适用场景：个人网站、博客、测试环境、对信任度要求不高的企业官网

代表产品：Let's Encrypt（免费）、阿里云免费版、腾讯云免费版

🏢 OV 证书（Organization Validation）

验证方式：验证域名所有权 + 企业真实身份（需提交营业执照、法人身份证等）

签发时间：1-3 个工作日

价格：800-3000 元/年

适用场景：企业官网、电商平台、在线服务

代表产品：GeoTrust、DigiCert、GlobalSign 的 OV 系列

🏦 EV 证书（Extended Validation）

验证方式：最严格的验证，包括域名、企业、法人、经营场所等多重核实

签发时间：3-7 个工作日

价格：3000-10000 元/年

适用场景：金融机构、大型电商、政府网站、对信任度要求极高的场景

特色：浏览器地址栏显示绿色公司名称（部分浏览器已取消此功能）

代表产品：DigiCert EV、Sectigo EV

证书品牌对比

SSL 证书申请流程（以阿里云为例）

步骤 1：登录阿里云控制台

访问 ssl.aliyun.com，登录阿里云账号。

步骤 2：选择证书类型

根据需求选择免费 DV、付费 DV、OV 或 EV 证书。

步骤 3：填写域名信息

输入要保护的域名（如 www.example.com）。如需保护多个子域名，选择通配符证书（*.example.com）。

步骤 4：域名验证

DV 证书可选择以下验证方式之一：

• DNS 验证：在域名管理后台添加一条 TXT 记录
• 文件验证：在网站根目录上传一个验证文件
• 邮箱验证：向管理员邮箱发送验证邮件

推荐使用 DNS 验证，自动化程度高。

步骤 5：提交审核（OV/EV 证书）

OV 和 EV 证书需要上传企业资质：

• 营业执照扫描件
• 法人身份证扫描件
• 授权委托书（如经办人代办）
• 座机号码验证（CA 会打电话核实）

步骤 6：下载证书

审核通过后，在控制台下载证书文件。通常包含两个文件：

• 证书文件（.crt 或.pem）
• 私钥文件（.key）

SSL 证书部署指南

Nginx 服务器部署

1. 将证书文件上传到服务器（如/etc/nginx/ssl/目录）

2. 修改 Nginx 配置文件：

server {
    listen 443 ssl;
    server_name www.example.com;
    
    ssl_certificate /etc/nginx/ssl/example.com.crt;
    ssl_certificate_key /etc/nginx/ssl/example.com.key;
    
    ssl_protocols TLSv1.2 TLSv1.3;
    ssl_ciphers HIGH:!aNULL:!MD5;
    
    location / {
        proxy_pass http://localhost:8080;
    }
}

3. 重启 Nginx：nginx -s reload

Apache 服务器部署

1. 修改 httpd-ssl.conf：

<VirtualHost *:443>
    ServerName www.example.com
    
    SSLEngine on
    SSLCertificateFile "/path/to/example.com.crt"
    SSLCertificateKeyFile "/path/to/example.com.key"
    SSLCertificateChainFile "/path/to/ca-bundle.crt"
</VirtualHost>

2. 重启 Apache：systemctl restart httpd

Tomcat 服务器部署

1. 将证书转换为 JKS 格式（使用 keytool 命令）

2. 修改 server.xml：

<Connector port="8443" protocol="org.apache.coyote.http11.Http11NioProtocol"
         maxThreads="150" SSLEnabled="true">
    <SSLHostConfig>
        <Certificate certificateKeystoreFile="conf/keystore.jks"
                     certificateKeystorePassword="changeit"
                     type="RSA" />
    </SSLHostConfig>
</Connector>

3. 重启 Tomcat

云服务器一键部署

阿里云、腾讯云等都提供 SSL 证书一键部署功能：

• 选择已购买的证书
• 选择要绑定的云产品（SLB、CDN、WAF 等）
• 点击"部署"，系统自动完成配置

常见问题与解决方案

❓ 问题 1：浏览器提示"证书不受信任"

原因：证书链不完整，缺少中间证书。

解决：下载完整的证书链文件（通常叫 ca-bundle.crt 或 intermediate.crt），与服务器证书一起配置。

❓ 问题 2：混合内容警告（Mixed Content）

原因：HTTPS 页面中加载了 HTTP 资源（图片、CSS、JS）。

解决：将所有资源链接改为 HTTPS 或使用相对路径。Chrome DevTools Console 会列出所有混合内容资源。

❓ 问题 3：证书过期忘记续期

后果：浏览器显示"证书已过期"警告，用户无法正常访问。

预防：

• 设置日历提醒（到期前 30 天）
• 使用监控服务（如 Uptime Robot）监控证书状态
• 选择支持自动续期的证书（如 Let's Encrypt）

❓ 问题 4：多域名/子域名如何管理

方案 1：多域名证书（一张证书保护多个域名，如 example.com 和 example.net）

方案 2：通配符证书（一张证书保护同一主域下的所有子域名，如 *.example.com）

方案 3：分别购买多个单域名证书（灵活但成本高）

武汉企业 HTTPS 改造案例

案例 1：光谷某 B2B 平台

该平台撮合武汉本地供应商和采购商交易，涉及大量企业信息和合同数据。2023 年完成全站 HTTPS 改造：

• 购买 DigiCert OV 通配符证书（*.example.com），花费 2800 元/年
• 部署到负载均衡 SLB 和后端 10 台服务器
• 强制 HTTP 跳转 HTTPS（301 重定向）
• 更新所有内部链接和资源引用

改造后效果：

• 百度权重从 3 提升至4
• 用户注册转化率提升18%（信任度提高）
• 顺利通过多家大客户的供应商安全审核

案例 2：汉口某在线医疗平台

该平台提供在线问诊、处方开具、药品配送服务，属于强监管行业。卫健委要求必须使用 HTTPS 保护患者隐私。

合规方案：

• 购买 GeoTrust EV 证书（增强信任背书）
• 启用 HSTS（强制 HTTPS，防止降级攻击）
• 配置 OCSP Stapling（加速证书验证）
• 通过等保二级认证

投入：证书费 5000 元/年 + 技术实施 3000 元。

我们的 SSL 服务

我们提供 SSL 证书代申请、部署、续期提醒的一站式服务：

已为武汉100+ 企业完成 HTTPS 改造，保持零事故记录。