从HTTP到HTTPS：服务器证书部署全流程指南

快小二编导 2026-07-25 17:19:00 技术教程

当用户在浏览器地址栏看到“不安全”的红色警告时，80%的人会选择关闭页面——这不是危言耸听，而是Chrome浏览器2023年发布的用户行为报告数据。在隐私泄露与网络攻击日益频繁的今天，HTTPS已从“加分项”变成网站的“必需品”。它不仅能加密数据传输、保护用户隐私，还能提升搜索引擎排名（Google已明确将HTTPS作为排名因子）。

但对很多服务器管理者来说，“部署HTTPS证书”仍像一道技术壁垒：选什么证书？怎么申请？配置时要注意哪些坑？本文将以Nginx服务器为例，从证书选择、申请到部署验证，一步步拆解HTTPS证书的完整流程，让你零基础也能搞定。

一、先搞懂：HTTPS证书到底是什么？

HTTPS（Hypertext Transfer Protocol Secure）的核心是SSL/TLS协议，而证书就是实现这一协议的“数字身份证”——它由权威机构（CA，Certificate Authority）签发，包含网站域名、公钥、证书有效期等信息，用于证明“这个网站是真的，不是钓鱼网站”。

简单来说：

HTTP是“明文传输”，数据在网络中裸奔，容易被窃听、篡改；
HTTPS是“加密传输”，通过证书建立安全连接，让数据变成只有服务器和用户能解密的密文。

常见的证书类型有3种，选择时需根据业务需求判断：

域名型证书（DV SSL）：仅验证域名所有权，申请快（10分钟内）、免费（如Let’s Encrypt），适合个人博客、小型网站；
企业型证书（OV SSL）：验证企业真实身份，需提供营业执照等资料，信任度更高，适合电商、企业官网；
增强型证书（EV SSL）：最高级别的证书，浏览器地址栏会显示绿色企业名称，适合金融、支付类网站（如支付宝、微信支付）。

二、准备工作：部署前必须确认的3件事

在开始部署前，先检查以下基础条件是否满足，避免中途卡壳：

1. 服务器环境就绪

已安装Web服务器（如Nginx、Apache、IIS，本文以Nginx为例）；
服务器已开放443端口（HTTPS默认端口，需在云服务商控制台的安全组/防火墙中放行）；
域名已完成DNS解析（将域名指向服务器公网IP，可通过ping 你的域名验证是否解析成功）。

2. 选择证书颁发机构（CA）

免费选项：Let’s Encrypt（最流行，有效期90天，需定期续签）、ZeroSSL；
付费选项：DigiCert、GlobalSign、Symantec（适合对安全性要求高的企业）。

本文以Let’s Encrypt为例（免费且操作简单），使用官方推荐的工具Certbot自动申请证书。

三、步骤1：安装Certbot工具（Let’s Encrypt证书申请利器）

Certbot是Let’s Encrypt官方开发的工具，能自动完成证书申请、配置和续签，支持Nginx、Apache等主流服务器。

以CentOS 7系统为例：

安装EPEL源（Certbot依赖EPEL仓库）：
```
yum install epel-release -y
```

安装Certbot及Nginx插件：

yum install certbot python2-certbot-nginx -y

以Ubuntu 20.04系统为例：

添加Certbot PPA源：

apt update && apt install software-properties-common -y
add-apt-repository ppa:certbot/certbot -y

安装Certbot及Nginx插件：

apt update && apt install certbot python3-certbot-nginx -y

四、步骤2：申请并自动配置HTTPS证书

Certbot提供交互式命令，只需回答几个问题就能完成证书申请和服务器配置，非常友好。

1. 运行Certbot命令

在服务器终端执行：

certbot --nginx -d 你的域名 -d www.你的域名

--nginx：指定Web服务器类型为Nginx；
-d：指定需要申请证书的域名（可同时添加主域名和www子域名）。

2. 交互式配置流程

执行命令后，会出现以下步骤，按提示操作即可：

输入邮箱：用于接收证书到期提醒（Let’s Encrypt证书有效期90天，建议填写常用邮箱）；
同意服务条款：输入A并回车；
是否共享邮箱：根据个人意愿选择Y或N；
选择重定向方式：会问“是否将HTTP请求自动重定向到HTTPS？”，建议选2（永久重定向，即HTTP→HTTPS），这样用户访问http://你的域名时会自动跳转到https://你的域名。

3. 验证证书是否申请成功

当终端显示“Successfully received certificate”时，说明证书已申请并配置完成。Certbot会自动：

将证书文件保存到/etc/letsencrypt/live/你的域名/目录（包含fullchain.pem公钥、privkey.pem私钥）；
修改Nginx配置文件（通常在/etc/nginx/conf.d/或/etc/nginx/sites-available/目录），添加443端口监听和证书路径。

五、步骤3：手动检查并优化Nginx配置（关键！）

虽然Certbot会自动配置Nginx，但为了确保安全性和性能，建议手动检查并优化配置。

1. 找到Nginx配置文件

通常Certbot会修改你的域名对应的配置文件，比如/etc/nginx/conf.d/你的域名.conf，用编辑器打开：

vim /etc/nginx/conf.d/你的域名.conf

2. 检查核心配置项

配置文件中应包含以下HTTPS相关配置（若缺失需手动添加）：

server {
    listen 80;
    server_name 你的域名 www.你的域名;
    return 301 https://$host$request_uri; # 强制HTTP跳转到HTTPS
}

server {
    listen 443 ssl;
    server_name 你的域名 www.你的域名;

    # 证书文件路径（Certbot自动生成）
    ssl_certificate /etc/letsencrypt/live/你的域名/fullchain.pem;
    ssl_certificate_key /etc/letsencrypt/live/你的域名/privkey.pem;

    # SSL协议优化（禁用不安全的SSLv2、SSLv3）
    ssl_protocols TLSv1.2 TLSv1.3;
    ssl_prefer_server_ciphers on;
    ssl_ciphers "EECDH+AESGCM:EDH+AESGCM:AES256+EECDH:AES256+EDH";

    # 会话缓存优化（提升性能）
    ssl_session_cache shared:SSL:10m;
    ssl_session_timeout 10m;

    # 其他网站配置（如root、index、location等）
    root /usr/share/nginx/html;
    index index.html index.htm;

    location / {
        try_files $uri $uri/ =404;
    }
}

3. 验证Nginx配置是否正确

修改配置后，必须验证语法是否有误，避免重启时失败：

nginx -t

若显示“nginx: configuration file /etc/nginx/nginx.conf test is successful”，说明配置正确。

4. 重启Nginx服务

使配置生效：

systemctl restart nginx

六、步骤4：验证HTTPS是否生效

部署完成后，需从浏览器和工具两个维度验证是否成功：

1. 浏览器验证

打开Chrome/Firefox浏览器，输入https://你的域名：

地址栏左侧显示小锁图标（表示连接安全）；
点击小锁→“证书”，可查看证书的颁发机构、有效期等信息。

若仍显示“不安全”，可能是以下原因：

证书未覆盖当前访问的域名（比如只申请了yourdomain.com，却访问www.yourdomain.com）；
服务器443端口未放行（需检查云服务商安全组）；
配置文件中证书路径错误（重新核对ssl_certificate和ssl_certificate_key的路径）。

2. 在线工具验证

推荐使用以下工具进行更全面的检测：

SSL Labs测试（https://www.ssllabs.com/ssltest/）：输入域名，可获得SSL/TLS配置的评分（A+为最佳）；
Let’s Debug（https://letsdebug.net/）：若证书申请失败，可用于排查问题。

七、步骤5：证书自动续签（避免到期失效）

Let’s Encrypt证书有效期只有90天，手动续签容易遗忘，因此必须配置自动续签。

1. 测试续签命令

先执行测试命令，确认续签功能正常：

certbot renew --dry-run

若显示“Congratulations, all simulated renewals succeeded.”，说明续签逻辑没问题。

2. 添加定时任务（Cron）

通过Cron定期执行续签命令，建议每天执行2次（Let’s Encrypt会在证书到期前30天自动续签）：

打开Cron配置文件：
```
crontab -e
```
添加以下内容（每天凌晨2点和下午2点执行续签）：
```
0 2,14 * * * certbot renew --quiet
```
- --quiet：静默执行，不输出日志（避免打扰）；
- Cron时间格式：分时日月周。

3. 验证定时任务

执行以下命令查看Cron任务是否生效：

crontab -l

若能看到刚才添加的一行，说明定时任务已成功设置。

八、常见问题与解决方案

Certbot申请证书时提示“域名解析失败”
- 检查域名是否已解析到服务器公网IP；
- 确保服务器80端口未被占用（Certbot需要通过80端口验证域名所有权）。
浏览器提示“证书不受信任”
- 若使用自签证书（非CA签发），浏览器会提示不受信任，建议使用Let’s Encrypt等正规CA的证书；
- 检查证书是否已过期（可通过certbot certificates查看有效期）。
Nginx重启失败，提示“ssl_certificate_key permission denied”
- 私钥文件（privkey.pem）权限过高，需设置为600（仅所有者可读）：
```
chmod 600 /etc/letsencrypt/live/你的域名/privkey.pem
```