第一次给网站开HTTPS，很多人会卡在证书这一步。浏览器地址栏弹出“不安全”的提示，搜索表现也可能受影响，访客看到警告页多半直接关掉。阿里云ssl证书把申请、签发、部署和续期放在同一个控制台里，对人手不多的团队来说省心不少。下面用两个实际场景，把从选型到部署的过程讲清楚。
先搞清楚证书类型
选证书之前，先看它的验证级别。常见的有三类：
- DV证书（域名验证）：只确认你对域名有控制权。签发快，个人博客、小官网和测试环境用它就够了。
- OV证书（企业验证）：除了域名，还要核验企业主体信息，证书详情里会显示组织名称。面向消费者、需要建立品牌信任的站点，可以考虑它。
- EV证书（扩展验证）：审核最严格。过去浏览器地址栏会直接显示企业名称，现在主流浏览器已经弱化了这个展示，所以买之前要想清楚这笔额外成本换来的是什么。
另外还要看覆盖范围。单域名证书只管一个完整域名，像 www 和 blog 这样的子站要分开确认。通配符证书（比如 *.example.com）能覆盖同一级别的所有子域名，子站多的时候省事。多域名证书则可以把几个不同的域名放进同一张证书。
案例一：个人技术博客的免费证书
小林维护一个基于Nginx的技术博客，域名和服务器都在阿里云账号下。他的需求很简单：全站走HTTPS，预算是零。
他在控制台申请了一张免费的DV单域名证书。验证方式可以选DNS验证或文件验证，他选的是DNS验证，在域名解析里加一条指定记录，几分钟后证书状态就变成了已签发。
免费证书的有效期通常较短，一般是3个月左右，所以续期要提前安排。小林在日历里设了每两个月一次的提醒，并且确认了控制台支持到期前续期。签发完成后，他下载了PEM格式的证书文件和私钥，在Nginx里这样配置：
server {
listen 443 ssl;
server_name blog.example.com;
ssl_certificate /etc/nginx/ssl/blog.example.com.pem;
ssl_certificate_key /etc/nginx/ssl/blog.example.com.key;
ssl_protocols TLSv1.2 TLSv1.3;
root /var/www/blog;
}
server {
listen 80;
server_name blog.example.com;
return 301 https://$host$request_uri;
}
最后那段80端口的跳转很重要。如果不做，用户输入http地址时还会停留在不加密的入口上。部署完成后，他用浏览器检查了证书链和协议版本，确认页面没有混合内容报错。
案例二：电商站点的负载均衡部署
另一个场景来自一家做小家电的电商团队。站点部署在ECS集群前面，由负载均衡SLB统一接入流量。他们需要的是OV证书，因为客户在支付页面会留意企业信息。
团队提交营业执照等材料，通过审核后拿到证书。审核期间他们没有急着上线，而是先在测试环境里演练了一遍替换流程。这一步值得做。证书在负载均衡上替换时，如果证书链不完整，部分手机浏览器会直接报错，线上出了问题再回头查就晚了。
正式部署时，运维人员把证书上传到SLB的证书管理里，绑定到HTTPS监听器，并勾选了服务端证书链。上线后，他们用不同系统和浏览器做了访问测试，又用在线工具检查了证书链是否完整。整个过程大约半天，时间主要花在审核和测试上，配置本身并不复杂。
装好了还打不开，多半出在这几处
两个案例里，真正的麻烦大多不在签发，而是在部署和配对。如果你的证书装好后访问报错，优先检查下面三处：
- 证书链不完整：只传了终端证书，没有中间证书。电脑端浏览器可能还能访问，部分手机或旧系统就会直接拒绝。
- 证书与域名不对应：单域名证书不覆盖 www 或其他子站，访问这些地址时必然报错。装之前先对照覆盖范围。
- 证书文件与配置不匹配：Nginx用PEM，Tomcat常用JKS或PFX。格式不对，服务会起不来；证书和私钥不是一对，也会报错。
另外两件事不会让页面立刻打不开，但迟早会出问题。一是私钥要妥善备份并限制访问权限，丢了只能重新申请。二是免费证书到期后页面会直接报错，影响范围通常比想象中大，所以续期要提前设提醒。
怎么选
如果只是个人网站或测试环境，DV免费证书基本够用，重点是把续期做扎实。面向消费者的商业站点，可以考虑OV证书，并把证书管理纳入日常运维。子域名多的时候，通配符证书能减少重复申请，但私钥的保管范围也会随之变大，要想清楚谁能接触到它。
不管选哪种类型，证书能否正常工作，取决于部署是否对得上、续期是否按时。把这两件事做好，阿里云ssl证书才算真正用上了。
