网站上 HTTPS 基本已经是默认配置。浏览器会对未加密的页面标注“不安全”，搜索引擎对加密站点也更友好。阿里云的 SSL 证书服务能让个人站长和企业团队较快完成部署。下面按选证书、申请、部署和续期的顺序讲，并附两个实际案例，把容易出错的地方也说清楚。
阿里云证书能做什么
阿里云证书服务负责 SSL/TLS 证书的申请、管理和部署。签发后的证书可以直接绑到 CDN、负载均衡、OSS、API 网关等云产品上；如果是自建服务器，也可以下载文件手动配置。所有证书的到期时间会集中显示在控制台里，多张证书混在一起时，这一点能省不少事。
免费证书和付费证书怎么选
免费的 DV 证书只验证你对域名有控制权，不包含企业主体信息，地址栏也不会显示公司名称。个人博客、小型展示站、测试环境用它完全够用。
付费的 OV 证书会审核企业主体，适合官网和后台系统这类需要让访客确认身份的场景。EV 证书审核最严，过去地址栏会有专门的企业名展示，但主流浏览器已经逐步弱化这个差别。现在选 EV，更应该先算清楚审核周期和成本是否值得。
域名多的时候可以考虑两种方案。通配符证书（如 *.example.com）能覆盖同一主域下的所有二级子域名。多域名证书（SAN）则适合把几个不同的主域名放进同一张证书里统一管理。
申请流程
以免费 DV 单域名证书为例，大致是这几步：
- 登录阿里云控制台，进入 SSL 证书服务，选择申请免费证书。
- 填写要绑定的域名。如果网站同时用 www 和裸域名访问，记得两个都填，否则另一个会报证书错误。
- 选择验证方式。域名解析在阿里云云解析时，用 DNS 验证最省事；解析在其他服务商时，选文件验证更直接。
- 验证通过后，证书一般很快签发，之后可以下载，也可以直接部署。
证书有效期和免费额度都可能随政策调整，具体以控制台显示为准，申请前看一眼最稳妥。另外，记得打开续期提醒，否则证书过期时网站会直接报错，很难第一时间发现。
两个部署案例
案例一：电商店铺通过 CDN 启用 HTTPS
一家小型电商的商品图和静态资源走阿里云 CDN，页面本身还是 HTTP。结账页被浏览器提示不安全，转化明显下滑。团队在证书服务里申请了一张覆盖 shop.example.com 的免费证书，DNS 验证通过后，在 CDN 域名管理页面的证书管理里直接部署到加速域名上。接着开启强制 HTTPS 跳转，并把页面里的图片链接统一改成 https 协议。
整个过程没有改后端代码，只动了证书部署和协议。上线后地址栏恢复正常，混合内容警告也一并消失。这类场景最常见的坑其实是页面里还残留 http 资源，证书装上了，浏览器仍然会提示，所以改协议这一步不能省。
案例二：自建 Nginx 服务器手动配置证书
某内容平台的 API 部署在一台 ECS 上，前面用 Nginx 做反向代理。运维从证书控制台下载了 Nginx 格式的压缩包，里面有 PEM 证书文件和私钥文件。两个文件上传到服务器固定目录后，在配置里写好 ssl_certificate 和 ssl_certificate_key 的路径，先执行语法检查，再重载服务。
这个案例里最需要留意的是私钥权限。私钥只应让 root 读取，比如设成 600，别让其他用户能看到。部署完成后，可以用在线检测工具或 openssl 命令检查证书链是否完整，中间证书漏配是手动部署里最常见的问题，有的设备能通过，有的浏览器却会报错。
常见问题
- 证书绑定的域名必须和访问地址一致。证书只签了 example.com，访问 www.example.com 仍会报错，要么补上这个域名，要么重新申请。
- 证书链不完整很常见。只配了服务器证书、漏了中间证书，部分浏览器或老设备就无法信任，问题往往在特定环境下才暴露。
- 私钥泄露后，应尽快吊销证书并重新签发。私钥不要提交到代码仓库，也不要通过聊天工具发给别人。
- 能用云产品一键部署的，就别手动操作。少一道人工步骤，出错的机会也少一个。
到期后怎么续
证书过期是最容易被忽视的故障来源。建议在控制台开启到期提醒，并把到期时间写进团队的运维日程。续期时，如果证书已经部署在 CDN 或负载均衡上，可以先签发新证书，再在对应产品里替换部署，最好选业务低峰期操作。自建服务器续期后，别忘了重新加载 Nginx 或对应服务，否则新证书不会生效，旧证书还会继续使用到过期。
整体来看，阿里云证书的上手门槛不高。个人站点先用免费证书就够，企业业务再按审核要求和域名规模决定要不要付费或用通配符。把申请、部署和续期固定成一套流程，HTTPS 才能长期稳定运行，而不是隔一段时间就救一次火。
