HTTPS证书详解

做网站这些年，我发现很多人对HTTPS的理解还停留在”加个锁、安全一点”这个层面。

其实远不止这些。

HTTPS证书这东西，搞懂了不只是安全问题，它直接影响你的搜索排名、用户信任度，甚至影响转化率。

小魏博客深入探讨HTTPS证书的方方面面，从其基本概念、工作原理、类型选择，到对SEO的深远影响，以及详细的申请、部署教程和价格分析。

不想了解技术细节的可以直接阅读：HTTPS证书申请 → HTTPS证书部署教程 → 部署后的SEO收尾工作，想要详细了解请全文阅读

新手用户阅读指南

先搞懂HTTPS到底是什么

HTTPS全称是Hypertext Transfer Protocol Secure，说白了就是HTTP加了一层加密。

普通HTTP传数据是明文的，任何中间节点都能截到，密码、账号、支付信息……全裸奔。

HTTPS通过SSL/TLS协议在客户端和服务器之间建了一条加密通道，数据在里面跑，外面看不到。

很多人搞不清SSL和TLS的关系。

简单说，SSL是早期版本，TLS是它的升级版，现在实际用的都是TLS，但行业里大家还是习惯叫”SSL证书”。

你在买证书的时候看到”SSL证书”这个词，不用困惑，就是TLS证书。

HTTP默认走80端口，HTTPS走443端口。

这不是废话，运维配置防火墙规则的时候经常有人忘了开443，部署完证书网站还是打不开，查半天发现端口没放行——这个坑我刚开始真踩过。

为什么现在不上HTTPS基本没法混

Chrome现在对HTTP网站直接打”不安全”标签，用户一看地址栏，信心就没了一半。

更要命的是，Google早在2014年就把HTTPS列为排名信号，虽然当时权重不高，但这些年持续加码，现在没有HTTPS基本告别首页竞争。

还有一个很多人忽略的点：HTTP/2和HTTP/3这两个更快的传输协议，强制要求HTTPS才能用。

也就是说，你不上HTTPS，就别想享受新协议带来的速度提升，网站Core Web Vitals指标自然也会受影响。

HTTP与HTTPS的区别对比图表

HTTPS证书怎么工作的

用户访问HTTPS网站的时候，浏览器和服务器之间会先做一次”握手”。

服务器把证书发过来，浏览器验证这个证书是不是可信机构签发的、有没有过期、域名匹配不匹配。

全部OK之后，双方协商出一个临时的会话密钥，后面的数据传输全用这个密钥加密。

整个过程用了对称加密、非对称加密、数字签名、哈希算法这几种技术组合，每一层都有它存在的理由。

实际测试发现，现代服务器上这个握手过程快得几乎感知不到，加上HTTP/2之后整体速度反而比老HTTP更快，所以”HTTPS会拖慢网站”这个说法在2024年已经基本不成立了。

HTTPS证书分这几种

证书市场乍一看很乱，但其实按两个维度分就清晰了：验证级别和覆盖范围。

1、按验证级别分

DV证书(域名验证 – Domain Validation)

DV证书(域名验证)是最基础的，CA只验证你对域名有控制权，几分钟就能签发。

Let’s Encrypt就是这类，完全免费，个人博客、企业展示站用这个完全够。

OV证书(组织验证 – Organization Validation)

OV证书(组织验证)在DV基础上多了企业身份验证，CA会核查营业执照等信息，签发周期几天。

用户打开证书详情能看到企业名称，适合对品牌形象有要求的企业站和SaaS平台。

EV证书(增强验证 – Extended Validation)

EV证书(增强验证)是验证最严格的，银行、金融平台、大型电商用这个。

审核流程复杂，可能要几周，价格也最高。

部分老版本浏览器会在地址栏显示绿色企业名称，新版Chrome已经取消了这个视觉效果，但证书本身的信任级别还是最高的。

2、按覆盖范围分类

单域名证书

只保护一个域名，最常见，价格最低。

示例：topsucai.com

通配符证书

一张证书覆盖主域名下所有一级子域名，比如*.topsucai.com，有十几个子域名的网站用这个省心省钱。

示例：*.topsucai.com(可保护blog.topsucai.com、www.topsucai.com等)

多域名证书(SAN证书)

可以在一张证书里写多个完全不同的域名，集团企业、多品牌运营的公司会用到。

示例：topsucai.com, topsucai.net, topsucai.org, blog.jmt8.com

很多新手容易犯的错误是：看到通配符证书以为能覆盖二级子域名，结果发现*.topsucai.com保护不了sub.blog.topsucai.com这种两级子域名——这个坑别踩。

3、域名所适用的证书（表格呈现）

主流HTTPS证书申请平台怎么选

1、Let’s Encrypt

Let’s Encrypt是免费DV证书的首选，90天有效期加自动续期，全球市占率最高，和各种服务器面板的集成成熟稳定。

个人项目、中小企业网站直接用，没啥好纠结的。

2、ZeroSSL

ZeroSSL提供免费DV证书，有图形化管理界面，对不熟悉命令行的人更友好，功能上和Let’s Encrypt差不多。

3、阿里云、腾讯云

如果你的服务器在阿里云或腾讯云，直接在控制台里申请证书，一键部署到ECS、CDN、负载均衡，省去很多配置工作。

国内备案网站用这个比较方便，合规上也更顺畅。

4、DigiCert、GlobalSign

DigiCert、GlobalSign这两家是国际头部CA，证书价格不便宜，但品牌公信力在金融、政务等高合规要求场景里是必要的。

5、Sectigo

Sectigo的性价比相对不错，提供全系列证书，很多中型企业的选择。

证书申请平台对比表格

HTTPS证书价格参考

价格这块变动比较快，我给一个大概的区间参考，具体还是要去各平台查实时报价。

价格影响因素：

验证级别：DV < OV < EV，验证级别越高，价格越贵。

保护范围：单域名 < 通配符 < 多域名，保护范围越广，价格越高。

证书品牌：知名CA(如DigiCert、GlobalSign)的证书通常比普通CA更贵，但品牌信任度更高。

购买渠道：直接从CA购买、通过代理商购买或通过云服务商购买，价格可能有所不同。云服务商通常会提供与自家产品集成的优惠。

有效期：一次性购买多年(如2年、3年)通常会有折扣。

在选择证书时，建议根据网站的性质、业务需求、预算以及对信任度的要求进行综合评估。

对于大多数中小型网站，免费的Let’s Encrypt DV证书或价格适中的付费DV/OV证书已能满足需求。

而对于涉及大量敏感数据或需要建立最高级别信任的网站，EV证书则是更明智的选择。

HTTPS证书申请教程

申请HTTPS证书的过程因证书类型和选择的平台而异。

小魏博客将详细介绍申请前的准备工作，并提供三种常见的申请方法。

1. 申请前准备

在开始申请HTTPS证书之前，您需要确保具备以下条件：

域名

您需要拥有一个已注册并可正常访问的域名。

证书将绑定到这个域名上，以验证网站身份。

DNS解析权限

您需要有能力修改域名的DNS解析记录。

在DV证书申请过程中，通常需要通过添加TXT记录或CName记录来验证域名所有权。

对于OV/EV证书，CA机构可能还会通过WHOIS信息联系域名注册人进行验证。

网站服务器

您需要拥有一个可用的网站服务器(如Nginx、Apache、IIS等)，并具备服务器的管理权限，以便后续部署证书文件。

2. 申请步骤

方法一：Let’s Encrypt自动申请(推荐用于免费DV证书)

Let’s Encrypt证书因其免费和自动化特性，成为许多个人和中小型网站的首选。

最常见的自动化工具是Certbot。

适用场景：

Linux服务器：大多数Linux发行版都支持Certbot，可以轻松集成。

宝塔面板：宝塔面板等服务器管理工具通常内置了Let’s Encrypt的集成功能，实现一键申请和部署。

cPanel/Plesk：许多主机控制面板也提供了对Let’s Encrypt的直接支持。

简要申请流程：

1.安装Certbot：根据您的服务器操作系统和Web服务器类型，安装Certbot客户端。

2.运行Certbot命令：执行certbot –nginx或certbot –apache等命令，Certbot会自动识别您的Web服务器配置，完成域名验证、证书申请和部署，并配置自动续期。

3.验证部署：访问您的网站，检查浏览器地址栏是否显示安全锁图标。

方法二：云服务器一键申请(推荐用于云服务商用户)

国内主流云服务商(如阿里云、腾讯云、华为云)都提供了便捷的SSL证书服务，并与自家云产品深度整合，实现一键申请和部署。

适用场景：

阿里云：如果您使用阿里云的ECS、CDN、负载均衡等服务。

腾讯云：如果您使用腾讯云的CVM、CDN、负载均衡等服务。

华为云：如果您使用华为云的ECS、CDN等服务。

简要申请流程：

1.登录云服务控制台：进入您所使用的云服务商的SSL证书管理页面。

2.选择证书类型：根据需求选择免费DV证书或付费OV/EV证书。

3.填写申请信息：提交域名、联系人等必要信息。对于OV/EV证书，可能需要上传企业资质文件。

4.域名验证：按照平台指引完成域名所有权验证(通常是DNS验证或文件验证)。

5.审核与签发：等待CA机构审核(免费DV证书通常秒级签发，OV/EV证书可能需要数天)。

6.一键部署：证书签发后，可以直接在云平台控制台选择您的服务器或CDN进行一键部署。

方法三：购买商业证书(推荐用于OV/EV证书或特定需求)

对于需要OV/EV证书、通配符证书或多域名证书的企业，通常需要通过专业的证书服务商或CA机构代理商购买。

适合场景：

企业官网：需要展示企业身份，提升品牌信任度。

电商平台：涉及大量交易和敏感数据，需要最高级别的安全保障。

金融机构：对安全性和合规性有严格要求的行业。

简要申请流程：

1.选择证书服务商：根据需求选择DigiCert、Sectigo、GlobalSign等CA机构或其代理商。

2.选择证书类型：根据验证级别和域名数量选择合适的证书产品。

3.生成CSR文件：在您的服务器上生成一个证书签名请求(CSR)文件。CSR文件包含了您的公钥和组织信息。

4.提交申请：将CSR文件提交给证书服务商，并填写详细的申请信息。

5.身份验证：CA机构将根据证书类型进行域名验证、组织验证或增强验证。您可能需要提供营业执照、法人身份证明等文件，并配合CA进行电话或邮件核实。

6.证书签发：验证通过后，CA机构会签发证书文件(通常包括.crt、.key等格式)。

7.手动部署：将签发的证书文件上传到您的服务器，并根据Web服务器类型(Nginx、Apache、IIS等)进行手动配置部署。

HTTPS证书部署教程

成功申请到HTTPS证书后，下一步就是将其部署到您的网站服务器上。

部署方式因服务器环境和所使用的Web服务器软件而异。

小魏博客将介绍几种常见的部署方法。

1. 宝塔面板部署

宝塔面板(BT Panel)是一款流行的服务器管理软件，它提供了图形化界面，使得HTTPS证书的部署变得非常简单。

步骤说明：

1.登录宝塔面板：通过浏览器访问您的宝塔面板管理界面。

2.进入网站设置：在左侧导航栏选择“网站”，找到您需要部署证书的网站，点击右侧的“设置”。

3.SSL配置：在网站设置页面中，切换到“SSL”选项卡。

4.粘贴证书内容：如果您是手动申请的证书，将CA签发的key文件内容粘贴到“密钥(KEY)”框中，将pem或crt文件内容粘贴到“证书(PEM格式)”框中。如果您是通过宝塔面板的“Let’s Encrypt”功能申请的，则直接点击“申请”或“部署”即可。

5.开启强制HTTPS：勾选“强制HTTPS”选项，确保所有HTTP请求都会自动重定向到HTTPS。点击“保存”完成部署。

2. Nginx部署

Nginx是一款高性能的Web服务器，广泛用于高并发网站。

手动部署HTTPS证书到Nginx需要修改其配置文件。

涉及文件：

certificate.crt：您的SSL/TLS证书文件(可能包含中间证书)。

private.key：您的证书私钥文件。

配置示例：

server {
    listen 80;
    server_name yourdomain.com www.yourdomain.com;
    return 301 https://$host$request_uri;
}
server {
    listen 443 ssl;
    server_name yourdomain.com www.yourdomain.com;
    ssl_certificate /etc/nginx/ssl/yourdomain.com.crt;  # 证书文件路径
    ssl_certificate_key /etc/nginx/ssl/yourdomain.com.key; # 私钥文件路径
    ssl_session_timeout 1d;
    ssl_session_cache shared:SSL:10m;
    ssl_session_tickets off;
    ssl_protocols TLSv1.2 TLSv1.3; # 推荐使用更安全的协议
    ssl_ciphers 'ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:DHE-RSA-AES128-GCM-SHA256:DHE-RSA-AES256-GCM-SHA384';
    ssl_prefer_server_ciphers on;
    # HSTS (HTTP Strict Transport Security ) 推荐开启
    add_header Strict-Transport-Security 
    "max-age=31536000; includeSubDomains; preload";
    # OCSP Stapling
    ssl_stapling on;
    ssl_stapling_verify on;
    ssl_trusted_certificate /etc/nginx/ssl/yourdomain.com_chain.crt; # 完整的证书链文件路径
    resolver 8.8.8.8 8.8.4.4 valid=300s;
    resolver_timeout 5s;
    location / {
        # proxy_pass http://localhost:8080; # 如果是反向代理 ，指向后端服务
        root /var/www/yourdomain.com; # 网站根目录
        index index.html index.htm;
    }
}

部署步骤：

1.将证书文件(.crt)和私钥文件(.key)上传到服务器的指定目录(例如/etc/nginx/ssl/)。

2.修改Nginx配置文件(通常在/etc/nginx/nginx.conf或/etc/nginx/conf.d/yourdomain.com.conf)，添加或修改server块，如上所示。

3.测试Nginx配置：sudo nginx -t。

4.重载Nginx服务：sudo systemctl reload nginx或sudo service nginx reload。

3. Apache部署

Apache是另一款广泛使用的Web服务器。

在Apache上部署HTTPS证书需要启用SSL模块并配置VirtualHost。

配置SSL模块：

1.确保Apache的SSL模块已启用：sudo a2enmod ssl。

2.重启Apache服务以加载模块：sudo systemctl restart apache2。

配置VirtualHost：

<VirtualHost *:80>
    ServerName yourdomain.com
    ServerAlias www.yourdomain.com
    Redirect permanent / https://yourdomain.com/
</VirtualHost>
<VirtualHost *:443>
    ServerName yourdomain.com
    ServerAlias www.yourdomain.com
    DocumentRoot /var/www/yourdomain.com
    SSLEngine on
    SSLCertificateFile /etc/apache2/ssl/yourdomain.com.crt # 证书文件路径
    SSLCertificateKeyFile /etc/apache2/ssl/yourdomain.com.key # 私钥文件路径
    SSLCertificateChainFile /etc/apache2/ssl/yourdomain.com_chain.crt # 完整的证书链文件路径
    # HSTS (HTTP Strict Transport Security ) 推荐开启
    Header always set Strict-Transport-Security "max-age=31536000; includeSubDomains; preload"
    # 其他配置，如日志、目录权限等
</VirtualHost>

编辑您的网站VirtualHost配置文件(通常在/etc/apache2/sites-available/yourdomain.com.conf或/etc/httpd/conf.d/yourdomain.com.conf )。

2.添加或修改VirtualHost块，如下所示：

部署步骤：

1.将证书文件(.crt)和私钥文件(.key)上传到服务器的指定目录(例如/etc/apache2/ssl/)。

2.修改Apache配置文件，添加或修改VirtualHost块。

3.测试Apache配置：sudo apachectl configtest。

4.重载Apache服务：sudo systemctl reload apache2或sudo service apache2 reload。

4. CDN部署

如果您使用了CDN(内容分发网络)服务，那么HTTPS证书的部署通常需要在CDN服务商的控制台进行配置。

CDN会负责在边缘节点缓存您的证书，并处理用户与CDN节点之间的HTTPS连接。

常见平台：

Cloudflare：提供免费的SSL/TLS服务，支持灵活的加密模式(Flexible, Full, Full (strict))。

CloudFront (AWS)：亚马逊AWS的CDN服务，支持上传自定义证书或使用AWS Certificate Manager (ACM) 签发的证书。

Bunny.net：一家流行的CDN服务商，也支持自定义SSL证书或免费的Let’s Encrypt集成。

简要流程：

1.登录CDN服务商控制台：进入您的CDN服务商的管理界面。

2.找到SSL/TLS配置：在域名管理或SSL/TLS设置中，找到证书上传或配置选项。

3.上传证书或选择托管证书：

如果您有自己的证书，上传.crt和.key文件。

如果CDN服务商提供免费SSL(如Cloudflare)，则直接启用即可。

如果CDN服务商提供证书托管服务(如AWS ACM)，则可以在其平台内申请和管理证书。

4.配置HTTPS回源：确保CDN回源到您的源站时也使用HTTPS，以实现端到端的加密。

5.验证部署：等待CDN配置生效，然后访问您的网站，检查HTTPS是否正常工作。

HTTPS对SEO到底有多大影响

Neil Patel早年就说过，不要”仅仅为了SEO”去切换HTTPS，因为直接的排名提升效果并不显著。

这话在当时有道理，但现在的情况已经变了。

HTTPS对SEO的影响现在更像是一个综合效应，而不是单一的排名加分项：

浏览器”不安全”警告直接提高跳出率，跳出率高了，排名自然跌

Rand Fishkin在其关于品牌信任的讨论中也强调，网站的安全性是用户感知品牌可靠性的重要因素

HTTPS是用HTTP/2的前提条件，HTTP/2提升页面速度，速度影响Core Web Vitals，Core Web Vitals影响排名

用户在安全网站停留时间更长，这些行为信号都在Google眼里

电商网站的支付环节，没有HTTPS用户直接走人，转化率就是零

所以现在的正确理解是：HTTPS虽然不能显著提升排名，但没有HTTPS，其他SEO工作的效果会被系统性地拖累。

Backlinko的研究也反复强调了网站速度和Core Web Vitals在2026年SEO中的重要性。

因此，部署HTTPS不仅是为了安全，更是为了拥抱更快的网络技术，从而在性能和SEO上取得优势。

部署后的SEO收尾工作

很多人以为装上证书就完事了，然后发现排名掉了，到处找原因，其实是迁移后的收尾工作没做。

1. 配置301重定向

这是HTTPS迁移中最关键的一步。

您必须确保所有旧的HTTP页面都永久重定向到新的HTTPS版本。

这不仅能将旧页面的SEO权重(Link Juice)传递给新页面，还能避免重复内容问题。

HTTP → HTTPS：配置服务器(Nginx、Apache或CDN)将所有HTTP请求以301永久重定向的方式指向对应的HTTPS URL。

例如：访问https://blog.topsucai.com/category/seo/应自动跳转到https://blog.topsucai.com/category/seo/。

2. 修改Canonical标签

rel=”canonical”标签用于告诉搜索引擎哪个URL是页面的首选版本。

在迁移到HTTPS后，务必更新所有页面的Canonical标签，将其指向HTTPS版本。

避免重复收录：如果Canonical标签仍然指向HTTP版本，搜索引擎可能会认为HTTP和HTTPS是两个不同的页面，从而导致重复内容问题，分散页面权重。

3. 更新网站地图(Sitemap)

网站地图(Sitemap.xml)是向搜索引擎提供网站结构和页面信息的重要方式。

迁移后，需要生成并提交新的HTTPS版本的Sitemap。

Sitemap.xml：确保您的sitemap.xml文件中包含的所有URL都是HTTPS版本。

然后，通过Google Search Console等工具重新提交更新后的Sitemap。

4. 更新Search Console

Google Search Console(GSC)是网站管理员与Google沟通的重要平台。

在迁移HTTPS后，您需要：

添加HTTPS版本网站：在GSC中添加您的HTTPS版本网站作为一个新的“资源”(Property)。

Google建议将HTTP和HTTPS版本都保留在GSC中，以便监控。

提交新的Sitemap：在HTTPS版本的GSC资源中提交更新后的Sitemap。

检查抓取错误：密切关注GSC中的“抓取错误”报告，及时发现并修复因迁移可能导致的问题。

5. 检查混合内容（Mixed Content）

混合内容是指HTTPS页面中仍然通过HTTP协议加载资源（如图片、JavaScript、CSS文件、字体、视频等）。

这会导致浏览器显示不安全警告，影响用户体验，甚至阻止某些内容加载。

常见问题：

图片：页面中的<img>标签的src属性仍为HTTP链接。

JS：<script>标签的src属性仍为HTTP链接。

CSS：<link>标签的href属性或CSS文件内部的url()函数仍为HTTP链接。

修复方法：

更新所有内部链接：将网站内容、模板、数据库中所有硬编码的HTTP链接替换为HTTPS链接或相对路径。

使用相对路径：对于内部资源，尽量使用相对路径（如/images/logo.png）或协议相对路径（如//blog.topsucai.com/images/logo.png），这样浏览器会自动使用当前页面的协议。

检查第三方资源：确保所有引用的第三方资源（如CDN、广告脚本、社交媒体插件）也支持HTTPS。如果不支持，考虑更换或联系服务商。

利用工具检测：使用在线工具（如Why No Padlock?）或浏览器开发者工具（Console面板）检测混合内容问题。

6. 更新内部链接和外部链接

内部链接：确保网站内部所有链接都更新为HTTPS版本。这包括导航菜单、文章内容、侧边栏、页脚等。

外部链接：虽然您无法控制外部网站的链接，但可以联系重要的合作伙伴或引用您网站的权威网站，请求他们更新链接到您的HTTPS版本。

如果以上步骤都做对了，一般几周内就会恢复，有的网站还会有小幅提升。

常见问题（FAQ）