第一次给网站上HTTPS，很多人会卡在两个地方：证书选错了，或者证书装上了但链没配全。浏览器弹出“不安全”的提示，客户来问为什么页面打不开，多半就是这两件事。这篇文章把阿里云1x证书从选型、申请、部署到续期串成一条线，中间穿插一个具体场景，方便对照着看。
先把域名清单列出来
证书价格有高有低，但选之前先别看价格。先把名下需要上HTTPS的域名列成一张表，域名数量和层级基本就决定了该买哪一种。
- 域名数量：只有一个主域名，单域名证书就够用。如果挂了多个子域名，比如 shop、api、pay 这类，可以考虑通配符证书，一张覆盖同级子域名。
- 使用场景：个人博客、企业官网、电商后台对安全的要求不一样，校验等级也会有差别。登录页、支付相关页面通常对证书等级要求更高，选型时多看一眼。
- 有效期和续期成本：证书到期没有替换，访问会直接报错，而且常常是在没人盯着的时候出问题。选型时就要想好谁来续、用什么方式续。
有一家小型电商团队，主站加两个支付回调子域名，原本分别买了三张单域名证书。后来他们改用一张通配符证书，管理的入口少了，也避免了某个子域名忘记续期、导致支付回调失败的情况。这个例子说明，选型前把域名理清楚，比急着下单更有用。
申请时容易忽略的几个步骤
阿里云1x证书的申请流程不长，大致是下面这几步。每一步都有容易踩的地方。
- 在控制台选好证书类型和域名数量。如果服务器在境内，域名要先完成备案，否则相关流程会卡住。
- 提交CSR信息。如果用的是阿里云负载均衡或CDN，可以让平台代为生成，不用自己在服务器上操作。
- 完成域名所有权验证。常见的是DNS验证和文件验证，通配符证书一般更适合DNS验证。
- 等待签发。DV类证书通常几分钟内就能完成，OV和EV类要等更长的审核时间，这段时间里别反复重复提交。
- 下载证书文件，按服务器类型选格式。Nginx一般用PEM，IIS一般用PFX，选错了就得重新导出。
前面提到的电商团队，在第三步卡了一天。他们的域名解析放在其他服务商那里，DNS记录添加后没等生效就点了验证，自然失败。后来改成等解析生效、用检测工具确认之后再提交，问题才解决。这类细节在实际操作里很常见，也最耽误时间。
部署到服务器，证书链和私钥都要配对
证书下载下来，只完成了一半。部署阶段最容易出错，常见情况是证书文件不完整，或者私钥和证书对不上。
证书文件应该包含服务器证书和中间证书的完整链。链不完整时，有的浏览器能正常打开，部分安卓机型和旧版浏览器却会报信任错误，排查起来很绕。私钥文件的权限要收紧，建议只允许root读取，避免被其他账户读到。
配置完成后，先用服务自带的语法检查命令确认没问题，再重载服务，而不是直接重启。重载可以让已有连接平滑切换，停机时间会短很多。同时记得开启HTTP到HTTPS的跳转，否则老链接还会以http访问，用户和搜索引擎看到的就是两个地址。
部署完成后，用公开的SSL检测工具扫一次，确认证书链完整、协议版本在TLS 1.2及以上，并且没有弱加密套件。前面那个电商团队在这一步发现旧版协议还开着，关掉之后检测评分明显提高。这类问题上线时未必感觉得到，但做安全检测时很容易被标出来。
续期和监控，别等页面报错才想起来
证书过期是最常见的故障，也最容易被忽视。有两件事值得提前做好。
第一，在控制台开启到期提醒，提醒邮箱用团队共用的邮箱，不要绑在某个同事的个人邮箱上。人员变动后，个人邮箱常常没人看，提醒就形同虚设。第二，把证书到期时间放进监控告警，提前三十天开始准备替换，而不是到期前一两天才动手。
如果用的是负载均衡或CDN这类云产品，证书更新通常可以自动完成，但还是要定期看一眼绑定状态，确认新证书已经生效。手动部署的服务器就要靠文档了。写一份简单的续期记录，包括证书存放路径、服务名称和重载命令，下次操作时不用从头摸索，交接给别人也方便。
阿里云1x证书本身并不复杂，难点在前期理清域名、部署时把证书链配全，以及后期别漏掉续期。这三步做到位，HTTPS带来的稳定访问和用户信任才能持续下去。
