SSL证书部署零踩坑保姆级攻略 3步搞定网站HTTPS安全加密

为啥我劝所有做网站的老铁必须把SSL证书部署提上日程？

咱先唠点实在的，我之前刚玩个人博客的时候，总觉得SSL证书部署是技术大佬才折腾的高端操作，我一个写点生活感悟的小破站，搞这玩意纯属脱裤子放屁。结果呢？上线半个月，浏览器地址栏旁边永远挂个红底白字的“不安全”，亲戚朋友我让他们帮忙点个赞，人家都以为我搞了什么诈骗网站，敢点进去的都是过命的交情。

后来我才想明白，你做网站跟开路边小卖部是一个道理啊！没做SSL证书部署的HTTP网站，就相当于你开小卖部连个防盗门、营业执照都没有，门大敞四开，客人进来买瓶水付个钱，转账记录直接飘在大街上，路过的谁都能瞅见，谁胆子这么大敢进来消费？SSL证书部署说白了就是给你的小卖部装个带密码的玻璃门，再把正规营业执照贴在门口，客人一瞅是正经店，才敢放心进门，交易的时候数据全程加密，外人啥也偷不着。

别觉得SSL证书部署是啥高不可攀的技术活，我这种之前登个服务器都要搜3分钟教程的半吊子，踩了三四天坑都能整明白，你照着我的攻略来，保准半小时搞定，啥问题都没有。

SSL证书部署前你得先搞明白的3件小事，少做一件都白搭

咱别上来就咔咔操作，先把前置工作做明白，不然SSL证书部署到一半卡壳，折腾半天反而把网站搞崩了，得不偿失。

先选对SSL证书，别瞎买贵的也别贪野路子免费的坑

SSL证书跟你小卖部的经营许可证是一个分类逻辑：个人博客、小展示站这种“流动小摊”，整个免费的DV证书就行，正规大厂出的一年有效期，完全够用；小微企业官网、本地服务站这种“个体户小店”，就选OV证书，能显示企业信息，可信度更高；要是做电商、金融类的“连锁大超市”，直接上EV证书，地址栏直接飘企业名，用户信任感直接拉满。

别犯傻啊，个人博客非要花大几千买EV证书的纯纯大冤种，也别去搜那种野路子不知名机构的免费证书，我之前贪便宜用过一次，用了俩月直接给我吊销了，SSL证书部署等于白做，网站直接红标挂了3天，亏了好几百流量。听我的，就去阿里云、腾讯云这种正规大厂申请免费DV证书，稳得很，啥套路都没有。

提前确认服务器配置，别到时候卡壳找不到原因

SSL证书部署默认走443端口，你先去安全组里看看这个端口有没有开，别到时候证书装好了，相当于你防盗门装完了，结果你把正门给焊死了，客人照样进不来。还有你用的要是Nginx、Apache这类服务器，先确认有没有装SSL模块，我第一次搞SSL证书部署的时候，折腾了俩小时一直报错，最后才发现我服务器的Nginx没编译SSL模块，纯纯脑子被门夹了。

还有域名解析提前查好，确保你要部署的域名确实指向当前的服务器，不然你拿隔壁老王的经营许可证贴自己店里，工商局照样查你，SSL证书部署完了也匹配不上，直接报错。

提前备份原有配置文件，出问题直接回滚零损失

这条我嘴皮子都磨破了，不管你改啥服务器配置，改之前先备份原文件！就像你出门前把备用钥匙放邻居家一把，忘带了也不用爬窗户。SSL证书部署要改服务器配置文件，要是你手滑写错个符号，网站直接崩，你有备份的话直接替换回去就行，啥损失都没有，我之前没备份瞎改，搞崩网站蹲在电脑前修到凌晨两点，血的教训。

亲测好使的SSL证书部署3步走，手残党也能一次成

前置工作搞定咱就直接开干，我以最常用的Nginx服务器为例，其他服务器逻辑都是一样的，照着套就行。

第一步：下载对应版本的证书文件传到服务器

你在大厂申请完证书之后，会让你选服务器类型下载对应安装包，Nginx的安装包解压之后一般有两个文件，一个是.pem后缀的证书文件，一个是.key后缀的私钥文件。你要是用宝塔面板的话更简单，直接在网站设置里找到SSL选项，把两个文件的内容复制粘贴到对应输入框就行，要是自己搭的服务器，就用FTP工具把文件传到你专门存证书的目录，比如/usr/local/nginx/conf/ssl这种，自己能找到就行。

划重点：一定要对应你服务器的版本下载证书，下错了100%部署失败，我之前把Apache的证书往Nginx里塞，折腾半小时才反应过来，傻到我自己都想给自己一巴掌。这步是SSL证书部署的基础，基础打不好后面全白扯。

第二步：修改Nginx配置开启443端口监听

找到你的Nginx配置文件，一般在conf目录下的nginx.conf，或者vhost目录下对应域名的conf文件，把下面这段配置粘进去，把对应的域名、文件路径换成你自己的就行：

``` server { listen 443 ssl; server_name 你的域名（比如xxx.com）; ssl_certificate 你的.pem文件完整路径; ssl_certificate_key 你的.key文件完整路径; ssl_protocols TLSv1.2 TLSv1.3; 禁用老旧不安全的协议 ssl_ciphers ECDHE-RSA-AES128-GCM-SHA256:HIGH:!aNULL:!MD5:!RC4:!DHE; 用安全加密套件 location / { root 你的网站根目录路径; index index.html index.htm index.php; } } ```

这段配置说白了就是告诉服务器，给我把443这个正门打开，把咱申请好的SSL证书贴在门口，所有走这个门的访问都给加密。改完配置别着急重启，先执行nginx -t命令测试配置有没有问题，显示success再执行nginx -s reload重启，不然你写错个符号直接把服务器搞崩，哭都来不及。我见过好多人SSL证书部署失败，都是懒得测配置直接重启，一步错步步错。

第三步：设置HTTP强制跳转HTTPS，把流量全导去加密通道

SSL证书部署完了要是不设跳转，用户还是能走80端口的HTTP裸奔通道，那不是白搞了？相当于你装了防盗门，结果侧门还大开着，小偷照样能进来。所以咱再补一段配置，把所有走HTTP的请求全转到HTTPS上去：

``` server { listen 80; server_name 你的域名; return 301 https://$host$request_uri; 永久跳转，权重也能传递 } ```

改完再执行nginx -t测一遍，没问题就重启服务器，这时候你再输自己的域名，地址栏已经出现小锁头了，SSL证书部署就搞定了，就这么简单。

SSL证书部署完别当甩手掌柜，这两件事得记牢

别觉得SSL证书部署完就万事大吉了，后面还有俩小事得记着，不然哪天网站突然红标你都不知道为啥。

提前设日历提醒，到期前半个月就续期

不管是免费还是付费的SSL证书，都有有效期，免费的一般是1年，就像你小卖部的健康证，到期了就得换。你部署完直接在手机日历设个提醒，提前半个月续期，我去年就是忘了续，证书过期了网站红标挂了3天，亏了好几百流量，现在我手机里的提醒比我妈喊我回家吃饭的提醒都准时。

定期测SSL配置等级，别被坏人钻空子

没事可以去SSL Labs这种免费检测网站测下你的配置等级，拿到A就算合格，要是等级低就调整下加密套件和协议，把老旧的TLS1.0、1.1都关了，就像你定期给小卖部的防盗门换锁，别用那种一撬就开的老锁，安全系数拉满才能放心搞流量。

你看，SSL证书部署真的没你想的那么难，啥技术活都是纸老虎，你敢上手试第一次，后面就啥都不怕了。咱普通人做网站，不求搞啥惊天动地的大项目，稳稳妥妥把该做的安全措施都做好，慢慢攒流量，迟早能做起来，我这SSL证书部署的坑都给你踩遍了，你照着来就行，保准一次成，奥利给！