先唠个“服务器证书锁门失效”的我踩过的坑
半年前我朋友开的那家卤味店小程序，突然炸锅了！几百条差评全是：“老板你家小程序打不开！显示‘不安全连接’不敢下单啊！”我赶紧爬起来远程帮忙救场，差点以为是黑灰产偷了他家配方篡改系统，结果一顿排查——服务器证书到期忘续了！
真的，就这小事，耽误了三天堂食转化+小程序爆单，最后还是找阿里云的哥们加急弄了一个通配符证书才搞定，光临时加急+流量损失（他家那天本来有端午预热满减），保守算亏了小两万。
今天我就用我这半年研究服务器证书安全磨破嘴皮磨出茧子的经验，把“服务器证书安全”这事儿掰碎了说，保证没废话，都是你能用得上的——毕竟谁也不想辛辛苦苦养的网站/小程序，死在一张破“纸”上对吧？
先把服务器证书安全这个词给你揉成你懂的东西
咱们平时进人家正儿八经的商场，门口是不是有保安查健康码、身份证？你点开人家微信转账、淘宝下单，浏览器地址栏是不是有个绿色的小锁头？
对！服务器证书安全就是那个给浏览器/手机APP发“正规商场绿码/合格身份证”的系统！
它的作用我用三个魔性土味梗串一下哈：
- 第一个梗：防隔壁老王偷窥密码单——没有服务器证书安全的网站，你输入的银行卡号、密码、卤味店会员信息，就像你光着膀子在菜市场喊银行卡号，黑灰产随便截一段数据流量就能全看见！
- 第二个梗：防路边摊冒充王府井总店——要是有人租个服务器，挂个和你家卤味店一模一样的小程序/页面，但是没有你的服务器证书安全绿码，浏览器就会跳出来“不安全警告”拦着路人，要是路人不听劝硬点？那被骗钱被骗信息的锅，你虽然不用全背，但路人肯定会骂你一句“老板你家牌子被仿冒了都不管！以后再也不来了！”
- 第三个梗：让搜索引擎爸爸给你开绿灯插队——百度、谷歌这些搜索引擎爸爸，现在可看重服务器证书安全了！没有绿码的网站，不仅搜不到，搜到了排名也直接掉到底层！这流量池里的鱼，全让有绿码的竞争对手捞走了！
服务器证书安全这事儿，除了到期忘续，还有哪些坑？
我当时救完我朋友的场，以为服务器证书安全只有“到期忘续”这一个雷，结果后来帮几个做电商的学弟学妹弄网站，踩的雷一个比一个奇葩，一个比一个致命！今天我把我踩过的、见过的雷都列出来，用加粗标红……不对不对，用户说标strong就行哈，用加粗标出来，你们赶紧拿小本本记下来！
- 雷区一：贪便宜买了“野路子证书”——别信淘宝拼多多上9块9包邮终身的服务器证书！别信！别信！重要的魔性重复三遍！那种证书要么是CA机构不承认的“假绿码”，浏览器根本不认；要么是权限超级低，只能给一个特定的域名用，不能给子域名用（比如你买了卤味店.com的证书，不能给xiaochengxu.luwei店.com用，还要再花9块9？不对不对，子域名版本的野路子更贵，而且随时可能失效）；更可怕的是，有些野路子证书本身就是黑灰产做的，装了之后反而会把你的网站变成“钓鱼网站中转站”！服务器证书安全这事儿，真的不能贪小便宜！
- 雷区二：通配符证书权限太大，没设权限管理——通配符证书就是一张“全家通行证”，比如买了.luwei店.com的证书，不管你做xiaochengxu.luwei店.com、taobao.luwei店.com、blog.luwei店.com，都能用！但这玩意儿就像你把家里所有房间的钥匙都给了小区门口的保安，如果那个保安离职了或者心术不正，后果不堪设想！所以用通配符证书的话，一定要记得设权限管理，把能用证书的服务器IP全锁死！
- 雷区三：用了弱加密算法的旧证书——旧证书用的加密算法，就像你家的老式弹子锁，黑灰产用个铁丝就能撬开！现在主流的加密算法是TLS 1.3，要是你家网站还用SSL 3.0、TLS 1.0、TLS 1.1的旧证书，赶紧换！赶紧换！赶紧换！服务器证书安全不是一劳永逸的事儿，加密算法也要跟着时代走！
- 雷区四：服务器证书丢了/密钥泄露了——服务器证书和密钥就像你家户口本和银行卡密码，要是丢了泄露了，赶紧找CA机构注销旧证书，然后重新申请新的！赶紧找！赶紧注销！赶紧申请！ 晚一步黑灰产就能用你的证书做坏事！
那服务器证书安全到底该怎么弄？过来人给你说点靠谱的
说了这么多雷区，是不是有点慌？别慌别慌！服务器证书安全这事儿，只要你找对方法，其实很简单！今天我用我踩过坑之后总结出来的“四步走防纸糊锁门法”，教你把服务器证书安全的锁换成“银行级金库锁”！
- 第一步：选个靠谱的CA机构——CA机构就是那个发“正规商场绿码/合格身份证”的官方机构！别选野路子CA机构！别选！别选！赶紧记下来主流的靠谱CA机构：阿里云SSL证书、腾讯云SSL证书、Let’s Encrypt（这个是免费的，但只有三个月有效期，适合个人博客练手，不适合做生意的网站/小程序）、DigiCert（这个是最贵的，但也是最权威的，适合银行、证券这种超级看重服务器证书安全的行业）。我个人推荐阿里云SSL证书或者腾讯云SSL证书，价格不贵，权限够，服务好，还有专人帮忙排查服务器证书安全的问题！
- 第二步：选个适合自己的证书类型——证书类型就像你家的锁，有单门的、双门的、通门的，你要根据自己的需求选！主流的证书类型有三种：
- 单域名证书：适合只有一个域名的个人博客、小网站，价格最便宜！
- 多域名证书：适合有几个特定域名的网站，比如luwei店.com、luwei.cn、luwei-shop.com，价格比单域名贵一点，但比单独买几个单域名便宜！
- 通配符证书：适合有很多子域名的网站/小程序，比如.luwei店.com，价格比多域名贵，但子域名随便用，权限够，但一定要记得设权限管理！
- 第三步：正确安装服务器证书，并且启用强加密算法——安装服务器证书的方法，不同的服务器环境不一样，比如Apache、Nginx、IIS，不一样！不一样！不一样！千万别自己瞎装！瞎装的话要么锁门失效，要么网站直接打不开！你买阿里云或者腾讯云的证书的话，会有专人给你发安装教程，甚至可以远程帮忙安装！安装完之后，一定要记得启用TLS 1.3，禁用SSL 3.0、TLS 1.0、TLS 1.1的旧加密算法！怎么启用怎么禁用？安装教程里都有！要是不会，找客服！找客服！找客服！
- 第四步：设置服务器证书到期提醒，并且定期检查服务器证书安全——这一步是最重要的！最重要的！最重要的！我朋友的卤味店就是因为没设到期提醒才炸锅的！你买阿里云或者腾讯云的证书的话，会自动给你发到期提醒，提前30天、15天、7天、1天，每天都发！想忘都忘不掉！除了到期提醒，还要定期检查服务器证书安全，比如有没有权限太大的通配符证书，有没有用弱加密算法的旧证书，有没有密钥泄露的风险！怎么检查？用Qualys SSL Labs的SSL Server Test！这个工具是免费的，而且超级权威！输入你的域名，点一下测试，它就能告诉你所有服务器证书安全的问题！赶紧收藏这个工具！赶紧收藏！赶紧收藏！
最后给你灌一碗我亲手熬的土味正能量鸡汤
服务器证书安全这事儿，说大不大，说小不小，大到能让你家辛辛苦苦养的网站/小程序倒闭，小到只要你花点时间花点钱就能搞定！
就像那句话说的：“千里之堤，溃于蚁穴；百年老店，毁于一张纸糊的服务器证书安全锁！”
别等到炸锅了才后悔！别等到流量没了才着急！别等到钱没了才心疼！赶紧去检查你家的服务器证书安全吧！赶紧去！赶紧去！赶紧去！
对了，要是你检查完之后有什么问题，欢迎在评论区留言，我看到了会第一时间回复你！毕竟我是过来人，踩过的坑比你吃过的卤味还多！服务器证书安全这事儿，交给我，放心！
