阿里云域名证书下载要在哪个页面操作？

网站开通 HTTPS 后，浏览器地址栏会显示小锁标志，访问者看到也更放心。阿里云提供 SSL 证书服务，证书签发后可以直接在控制台下载，再部署到自己的服务器上。这篇文章说明阿里云域名证书下载的具体步骤，并用一个实际案例演示部署过程。

下载前先确认四件事

证书状态要是“已签发”。待审核、待验证或验证失败的证书没有可下载的文件。下载按钮不可用时，先看状态。
先确定服务器用的软件。Nginx、Tomcat、Apache、IIS 需要的证书文件格式不同。下载时选错类型，文件放上服务器后配不上，只能重新下载。
核对证书绑定的域名。证书只对绑定的域名生效。比如证书绑定的是 shop.example.com，直接拿到 www.example.com 上用，浏览器会提示域名不匹配。
记下到期时间。免费 DV 证书有效期较短，通常为 3 个月。到期前要重新签发并替换，否则访问者会看到证书过期的提示。

登录阿里云控制台，在顶部搜索框输入“数字证书管理服务”。进入页面后，点击左侧菜单的“SSL 证书”，再选择“证书列表”。

在列表里按状态筛选“已签发”，找到要下载的那一张，记下它绑定的域名和到期时间。证书较多时，直接按域名搜索比翻列表快。

点击证书右侧的“下载”，在弹出的窗口中选择服务器类型，然后下载压缩包。以 Nginx 为例，压缩包一般包含 .pem 格式的证书文件、.key 格式的私钥文件和说明文档。下载后先把压缩包放到固定位置，再进行上传，避免文件散落在多台电脑上。

解压后把文件上传到服务器，再修改 Web 服务的配置。配置完成后，用浏览器或在线检测工具访问网站，确认证书域名、有效期和证书链都正确。只看到小锁还不够，证书链不完整时，有的客户端能打开，有的会报错。

查看证书的域名和有效期。执行 openssl x509 -in shop.example.com.pem -noout -subject -dates，输出中的 subject 和 notAfter 要符合预期。
核对证书和私钥是否配套。用 openssl x509 -noout -modulus 和 openssl rsa -noout -modulus 分别取出证书和私钥的 modulus 值，两个值一致才说明是一对。不配套时，Nginx 加载配置会报错，服务无法正常启动。
检查中间证书。浏览器提示证书链不完整时，打开 .pem 文件，看它是否包含中间证书。缺少时，从阿里云文档获取中间证书，按文档要求合并进去。

某小型电商团队在阿里云 ECS 上运行 Nginx，站点域名是 shop.example.com。运营负责人小陈签发了一张免费 DV 证书，按下面的流程完成部署。

小陈在证书列表中确认状态为“已签发”，绑定域名为 shop.example.com。
服务器类型选择“Nginx”，下载压缩包，解压得到 shop.example.com.pem 和 shop.example.com.key。
用 SFTP 把两个文件传到服务器的 /etc/nginx/ssl/ 目录，执行 chmod 600，让私钥只有文件所有者可以读写。
在 server 块中配置 listen 443 ssl、ssl_certificate 和 ssl_certificate_key，然后执行 nginx -t 检查语法。
检查通过后执行 systemctl reload nginx，再访问 https://shop.example.com，确认小锁标志和证书信息正常。

nginx -t 报错时不要急着 reload。多数情况是路径写错，或者证书和私钥不是一对，按报错信息逐项检查即可。

部署后，小陈在 Nginx 配置里加入了从 80 端口到 443 端口的跳转，让旧链接也能走 HTTPS。整个过程约 20 分钟。跳转配置生效后，用 curl -I http://shop.example.com 确认返回的状态码和配置一致，再通知用户。

通常是证书还没有签发完成。先检查域名验证是否通过，DNS 验证记录或文件验证是否配置正确。状态没有变为“已签发”之前，无法下载文件。

建议放在只有 root 或服务进程可读的目录，例如 /etc/nginx/ssl/。私钥不要放进代码仓库，也不要通过聊天工具发送。

在证书列表中重新申请或续期，下载新文件后替换旧文件，再重新加载服务。替换前先备份旧文件，出现问题时可以快速回滚。替换后用浏览器访问一次，确认新证书已经生效。

私钥一旦泄露，别人就能冒充你的网站。私钥只留在服务器上，备份时加密存放。服务器管理员或维护人员变动时，最好更换证书，并删除旧私钥在原来位置的副本。