网站上线后，浏览器地址栏弹出“不安全”提示，访客很可能直接关掉页面。给网站配置阿里云SSL证书，让数据传输走加密通道，就能用HTTPS访问。这篇文章从选类型、申请、部署讲到续期，中间穿插一个真实的改造过程。
先想清楚要哪种证书
申请前先确认三件事：要保护几个域名，是否需要通配符，是否要做企业认证。
- 单域名证书：只覆盖一个完整域名，比如 www.example.com。个人博客或只有一个官网入口的小站，用它就够。
- 通配符证书：覆盖同一级别的所有子域名，*.example.com 可以同时管 shop、blog、api 这些子站。子站多，又不想一个个单独申请时，可以考虑它。
- 多域名证书：一张证书放多个域名，适合几个站点需要统一管理的情况。
验证等级分两类。DV证书只核实域名归属，签发快，大多数网站够用。OV和EV证书要提交企业资质审核，金融、支付类页面对可信度要求高时才值得多走这一步。价格和免费额度调整得比较频繁，下单前以控制台显示为准。
一个茶具小站的HTTPS改造
某做手工茶具的小团队，网站部署在阿里云ECS上，用Nginx反向代理WordPress。上线半年后，客服陆续收到反馈：结账页被浏览器标成不安全，有客户看到提示直接放弃付款。团队决定给主域名和www子域名都上HTTPS。
第一步：申请证书
进入阿里云“数字证书管理服务”控制台，选择DV证书类型，填写域名和联系人信息。主域名和www需要同时可用，所以团队选的是能绑定多个域名的类型。两个地址共用一张证书，以后续期只需要处理一次。
第二步：完成域名验证
提交后，系统会要求验证域名归属，常见有两种方式：
- DNS验证：在域名解析里添加控制台给出的TXT记录。服务器文件无法从外部直接访问，或者没有上传权限时，适合用这种方式。这个团队最后用的就是它。
- 文件验证：把系统给出的文件放到网站根目录，并确认能通过HTTP访问到。服务器本身访问正常、你手里有上传权限时，操作更直接。
TXT记录一般几分钟到几小时生效。证书状态变成“已签发”后再进行下一步。如果验证一直卡住，先用在线DNS查询工具确认记录已经生效，不要反复重新提交。
第三步：下载并部署到Nginx
在证书详情页下载Nginx格式的文件，一般包括证书文件和私钥文件。把它们放到 /etc/nginx/ssl/ 目录，然后修改配置：在server块中监听443端口，用 ssl_certificate 指向证书文件，用 ssl_certificate_key 指向私钥。
还要再加一个监听80端口的server块，把请求用301跳转到HTTPS。不做这一步，旧链接和搜索引擎里收录的http地址仍会以明文访问，证书白装了。
第四步：检查效果
重载Nginx配置后，用浏览器打开网站，看地址栏是否显示锁形图标。再用在线SSL检测工具检查证书链是否完整。这个团队遇到过一个问题：服务器只配了站点证书，没有带中间证书，部分手机浏览器直接报错。把证书链文件和站点证书合并后，问题就消失了。
接入CDN或负载均衡时
如果网站前面有阿里云CDN或SLB，证书要装在这些产品上，只配源站不够。CDN开启HTTPS后，还要检查回源协议。源站支持HTTPS，就选HTTPS回源，否则CDN到源站这一段仍是明文。
OSS静态资源也一样，需要在对应Bucket里绑定自定义域名，再配置证书。多个产品共用一张证书时，在证书管理里记下每张证书装在哪些服务上，续期时才不会漏掉某一处。
续期要提前安排
证书到期后，网站会立刻出现安全警告，所以不能等到最后一天再处理。这个团队在日历里设了到期前30天的提醒，并维护一张部署清单，写明每张证书装在哪台服务器、哪个CDN域名上。阿里云控制台也支持证书到期通知，在通知设置里打开即可。
实际操作中，下面几个问题最常见：
- 解析记录没生效：验证会一直卡住。提交前先确认TXT记录已在解析后台保存，再等待生效。
- 中间证书漏装：部分客户端会报错。下载证书包时，把证书链文件一起合并到配置里。
- 续期后忘了重载服务：页面仍显示旧证书。替换文件后立即重载Nginx，再用无痕窗口访问确认。
- 备案未完成：如果网站使用中国大陆服务器，域名通常需要先完成ICP备案，否则相关服务可能无法正常访问。备案完成前，先不要把域名正式指向大陆服务器。
如果只是个人站或单个官网，一张单域名DV证书通常够用。子域名多、产品多的时候，先把证书和部署位置记下来，比事后临时去找要省事得多。
