网站上 HTTPS 已经是基本配置。浏览器会对未加密页面标注“不安全”，加密站点也更容易获得搜索引擎的信任。中小团队用阿里云证书通常省事，但证书类型怎么选、申请走哪条路、部署时哪里容易出错，还是有不少细节。下面用两个实际场景，把选型和落地步骤捋一遍。
先分清证书类型
阿里云证书的区别主要来自两个方面：验证强度和覆盖范围。选的时候，先想清楚站点需要证明什么，再想它要覆盖几个域名。
- DV证书（域名验证型）：只确认你对域名有控制权，签发快。个人博客、小型官网、测试环境用它基本够了。
- OV证书（企业验证型）：会核验企业主体信息，证书详情里能看到机构名称。如果你的站点要对外展示品牌，并且用户会去看证书信息，可以考虑它。
- EV证书（扩展验证型）：审核最严，流程也最长。过去浏览器地址栏的绿色标识很明显，现在差别已经小了，费用却更高，一般只在金融等有强合规要求的场景里才值得上。
- 单域名、多域名、通配符证书：单域名只覆盖一个主机名。多域名可以把几个独立域名放进同一张证书。通配符证书写作 *.example.com，覆盖同一级的所有子域名。
价格、有效期和续期规则会随产品调整。下单前到数字证书管理服务控制台确认一下当前规则，比看别人的截图靠谱。
申请与验证怎么走
不管选哪种证书，流程基本一样：填域名信息，完成所有权验证，等签发，然后下载文件部署。
- 在控制台选证书类型，填写主域名和需要覆盖的子域名。
- 选择验证方式。域名已经托管在阿里云 DNS 时，用 DNS 验证最方便，按提示添加一条指定的 TXT 记录即可。如果不方便改 DNS，就用文件验证，把指定文件放到网站根目录下。
- 验证通过后证书进入签发状态，一般很快完成。
- 下载证书。Nginx 通常用包含完整证书链的 pem 或 crt 文件，加上私钥 key 文件。Tomcat 等 Java 服务一般需要转成 JKS 或 PFX 格式。
两个真实场景
场景一：小型电商的 ECS 部署
一个做手工皮具的团队在阿里云 ECS 上用 Nginx 搭了独立站，域名是 shop.example.com。一开始他们用的是浏览器提示的自签名证书，结果下单页面不断有用户反馈“不安全”，转化掉得很明显。
后来换成阿里云免费 DV 证书，用 DNS 验证签发，把证书和私钥传到服务器，在 Nginx 配置里指定路径，同时把 80 端口的请求统一 301 跳到 443。支付页的安全提示消失了，咨询量也慢慢回到原来的水平。
这个案例里有个很容易漏掉的点：证书链要完整拼接。如果只放了服务器证书，部分手机浏览器会提示证书不受信任，电脑端却一切正常。这种问题最难查，因为你在自己的设备上怎么测都没事。
场景二：企业官网加 CDN 的通配符证书
一家中型软件公司把官网、文档中心和客户后台分别放在 www、docs、console 三个子域名下，并且都接了阿里云 CDN。最开始运维给每个子域名单独申请证书，数量一多，到期时间就分散了，后台那张证书过期时，居然没人注意到。
后来改用 *.example.com 通配符证书，统一部署到各个 CDN 加速域名。续期只需要替换一次，再配合控制台的到期提醒，维护压力小了很多。要注意的是，通配符只覆盖同一级子域名。a.b.example.com 这种多级子域名不在覆盖范围内，需要单独规划。
部署和维护里的几个坑
- 证书链不完整：个别客户端识别不了根证书，症状是部分设备报错、其他设备正常。换用控制台提供的完整链文件就能解决。
- 私钥随意放置：私钥文件只给服务进程读取的权限就够了。不要放在公共目录里，更不要提交到代码仓库。
- 没有到期监控：证书过期会直接导致访问中断。建议至少提前 30 天设提醒，并记下每张证书部署在哪台机器、哪个配置里。
- 备案没完成：境内服务器的域名如果没有完成 ICP 备案，80 和 443 端口可能被拦截，证书验证也可能失败。这一步在下单前就要确认。
怎么选
个人站点或者没有品牌展示需求的小站，用 DV 免费证书就够了。企业有多个子域名、又要统一管理的时候，通配符证书加集中管理更省事。动手前先把域名清单和证书清单列出来，你会清楚每张证书覆盖什么、部署在哪、什么时候到期，买和部署的决定也会顺很多。
