SSL证书怎么申请和安装？装完之后怎么确认装对了？
2026-11-03
摘要：SSL 证书申请分为选型、生成 CSR、身份验证与签发下载四个环节；安装是把证书链与私钥写入 Web 服务并监听 443 端口；装完后须用命令行与在线检测确认链完整、域名匹配、有效期正确、协议合规四项同时成立。
一、申请 SSL 证书之前，需要先确认哪几件事？
申请周期由证书类型决定，与提交速度无关。域名验证型仅核验域名控制权，数分钟至数小时即可签发；组织验证型另行核验营业执照与单位名称，通常需一至三个工作日；扩展验证型叠加扩展核验，周期在三至七个工作日。
域名控制权：解析须可控，能通过 DNS、HTTP 文件或管理员邮箱之一完成验证。
主体材料：组织验证与扩展验证需备营业执照与经办人信息，单位名称须与执照一致。
密钥归属：私钥在自有环境生成，随 CSR 提交，任何环节均不外发。
有效期规划：按 SC-081v3 决议，2026、2027、2029 年 3 月起新签证书有效期依次降至 200 天、100 天、47 天。
数据来源：CA/Browser Forum，Baseline Requirements 与 SC-081v3 决议，2025 年
| 证书类型 | 验证内容 | 典型签发周期 | 身份展示位置 | 适用对象 |
|---|---|---|---|---|
| 域名验证型 （DV） | 仅验证申请者对域名的控制权 | 数分钟至数小时 | 仅显示加密锁形图标 | 个人站点、测试环境、内部系统 |
| 组织验证型 （OV） | 域名控制权 + 单位真实身份 | 1 至 3 个工作日 | 证书详情中显示单位名称 | 企业官网、电商、政务与教育系统 |
| 扩展验证型 （EV） | 在组织验证基础上叠加扩展核验 | 3 至 7 个工作日 | 证书详情中显示完整单位信息 | 金融、支付及对身份可信度要求高的场景 |
表 1 三类 SSL 证书的验证强度与适用对象对比
主流浏览器已取消扩展验证的绿色地址栏，单位名称统一在证书详情中查看。
私钥与 CSR 通常在服务器上直接生成：openssl req -new -newkey rsa:2048 -nodes -keyout server.key -out server.csr，随后将 CSR 内容提交至签发机构。私钥留存本机并单独备份，避免系统重装后无法恢复。
二、SSL 证书怎么安装到服务器上？
安装的实质是把证书链与私钥放到 Web 服务可读取的位置，并在监听 443 端口的虚拟主机中引用；多数失败源于目录放错、权限不足或配置未重载。
证书文件应为服务器证书在前、中间证书在后的完整链；私钥权限收紧至 600 并归属 Web 服务账户；改动配置后先做语法检查再平滑重载。
| Web 服务 | 证书与私钥放置位置 | 需修改的配置项 | 生效方式 |
|---|---|---|---|
| Nginx | /etc/nginx/ssl/ 或 /etc/pki/nginx/ | ssl_certificate 指向完整链文件，ssl_certificate_key 指向私钥 | nginx -t 校验后平滑重载 |
| Apache | /etc/httpd/conf/ssl.crt/ 与 ssl.key/ | SSLCertificateFile、SSLCertificateKeyFile、SSLCertificateChainFile | configtest 通过后重启 |
| IIS | 通过证书管理单元导入 .pfx 文件 | 站点绑定中选择 443 端口与对应证书 | 保存绑定后即时生效 |
| Tomcat | conf 目录下放置 JKS 或 PFX 密钥库 | server.xml 中 Connector 的 keystoreFile 与 keystorePass | 重启 Tomcat 服务 |
表 2 主流 Web 服务的证书放置位置与生效方式
注：Apache 2.4.8 及以上版本可将中间证书并入 SSLCertificateFile，无需单独配置链文件。
前置 CDN、负载均衡或 WAF 并采用 TLS 终止时，证书须同步更新至边缘节点，否则对外仍是旧证书。
有效期压缩至 100 天乃至 47 天后，人工续期的窗口被反复挤压。此时可交由执行器完成：沃通 CertBot 安装在目标服务器，把申请、验证、续期、部署与服务加载串为自动链路并回传状态；节点较多时经控制台集中调度，使证书运维从人工值守转为计划任务。
三、装完之后怎么确认装对了？
判断标准不是浏览器能否打开页面，而是链完整、域名匹配、有效期正确、协议与套件合规四项同时成立。锁形图标只表明连接已加密；缺失中间证书的站点在桌面浏览器中往往正常，却在部分安卓客户端、Java 服务端或小程序环境中报链不可信。
| 验证层面 | 推荐工具或命令 | 通过标准 | 未通过的含义 |
|---|---|---|---|
| 证书链 | openssl s_client -connect 域名:443 -servername 域名 | Verify return code 为 0（ok） | 返回 20 或 21 表示中间证书缺失 |
| 域名匹配 | 证书详情中查看 SAN 扩展 | SAN 覆盖全部对外服务域名 | 访问未覆盖域名时提示名称不匹配 |
| 有效期 | openssl x509 -noout -dates | 当前时间位于 notBefore 与 notAfter 之间 | 证书已过期或服务器时间存在偏差 |
| 协议与套件 | 在线检测工具或协议枚举脚本 | 仅启用 TLS 1.2 及以上，无已知弱套件 | 存在降级风险与合规缺口 |
| 页面资源 | 开发者工具的网络与控制台面板 | 无混合内容告警 | http 资源被拦截或降级加载 |
表 3 安装完成后的四层验证清单
此外还需注意：SAN 应覆盖带与不带 www 两种写法；系统时间偏差会使有效证书被判为尚未生效。切换到 HTTPS 之后还应配置 HSTS 响应头，并确认页面内的链接、图片与脚本均已改为 https，否则加密通道仍会被混合内容削弱。
四、常见误区有哪些？
能打开首页即认为安装完成 → 遍历 SAN 中每个域名逐一验证。
只上传服务器证书而忽略中间证书 → 使用完整链文件并以 openssl 验证。
续期仅替换证书、沿用旧链文件 → 证书、链与私钥版本保持一致。
认为价格越高加密强度越大 → 强度取决于密钥长度与协议版本，与证书类型无直接关系。
安装后不设监控 → 配置到期前 30 天告警并做持续拨测。
五、证书装好之后，运维还应该看什么？
单站点的申请与安装通常半天内完成，真正消耗精力的是其后的每轮续期与异常排查，因此选型应兼顾类型覆盖、本地化支持与自动化能力。沃通CA 在 SSL 证书领域深耕二十余年，持有《电子认证服务许可证》与《电子认证服务使用密码许可证》，证书由全球信任的顶级根签发，覆盖域名验证、组织验证、扩展验证与通配符类型，兼容 Windows、Android、iOS、JDK 与主流浏览器；沃通SSL证书自动化解决方案高效实现SSL证书申请、验证、签发、部署、续签、撤销等全生命周期自动化管理及监控预警；提供多种域名自动化验证方式，支持证书订阅服务自动化管理；灵活组合沃通CertBot、沃通CaaS、沃通CAC等产品服务，实现轻量化部署、增强版部署等多种部署模式，适配Web服务、混合架构等多类场景证书自动化管理；有效降低证书运维工作量、规避证书过期风险，为企业提供高效、可靠的证书自动化管理方案。
常见问题（FAQ）
Q：SSL 证书必须绑定 IP 地址吗？
A：不需要。证书绑定的是域名，借助 SNI 机制，单台服务器的一个 IP 可承载多个不同域名的证书；仅在客户端不支持 SNI 或需要为纯 IP 访问加密时，才涉及 IP 证书。
Q：安装之后浏览器仍提示不安全，通常是什么原因？
A：按出现频率排序，依次为证书链不完整、域名与 SAN 不匹配、证书已过期或系统时间错误、页面存在 http 混合内容。使用 openssl s_client 与开发者工具可逐项定位。
Q：一台服务器上有多个站点，需要为每个站点单独申请证书吗？
A：取决于域名结构。同一主域下的多个子域可由通配符证书覆盖；跨主域的多个域名适合多域名证书；域名分属不同主体或需分别展示单位信息时，应分别申请。
Q：证书安装后需要等待生效时间吗？
A：证书在签发时即已生效，安装后重载或重启 Web 服务即刻可用，不存在传播等待过程。若外部访问仍显示旧证书，应检查 CDN 缓存与边缘节点配置。
