现在网站启用HTTPS已经是基本要求。浏览器对未加密页面会直接标注不安全，搜索引擎也更愿意收录走HTTPS的页面。对个人开发者和中小企业来说，阿里云证书在价格、操作和稳定性之间算是比较均衡的选择。这篇文章从选证书类型讲起，依次说明申请、域名验证、服务器部署和后续续期，中间穿插一个常见场景里的坑。
一、先想清楚需要哪种证书
动手前先确认三件事：要保护几个域名，是否需要在地址栏展示企业信息，预算大概多少。这三点基本就决定了证书类型。
- DV证书（域名验证型）：只核对域名归属，签发快、价格低，个人博客、测试站和内部系统通常够用。
- OV证书（企业验证型）：除域名外还要核验企业资料，浏览器可以看到组织信息，适合需要让访客建立信任的官网。
- EV证书（扩展验证型）：审核最严，但主流浏览器已经不再突出显示它的特殊标识。除非有明确的合规要求，一般不必优先考虑。
阿里云证书服务通常同时提供免费DV证书，以及付费的OV、通配符等产品。免费证书有效期较短，一般为三个月，需要配合自动续期使用。付费证书有效期更长，适合不想频繁维护的场景。具体规格、配额和价格以控制台显示为准，下单前核对一下。
二、申请流程
整个流程大致分五步：
- 登录阿里云控制台，进入SSL证书页面，选择证书类型并提交申请。
- 填写要绑定的域名。需要通配符证书时，按“*.example.com”的形式添加。
- 完成域名所有权验证，常见方式是DNS验证和文件验证。
- 等待审核，签发后下载对应服务器类型的文件包。
- 把证书部署到服务器、负载均衡或CDN，并配置HTTP强制跳转到HTTPS。
验证方式怎么选
域名已经托管在阿里云解析时，DNS验证最省事，添加一条指定的TXT记录即可，不用登录服务器。文件验证要求在网站根目录放一个指定文件，适合无法修改DNS的情况。但它依赖网站能正常访问，如果站点还在搭建，先用DNS方式更稳。
三、一个典型的迁移场景
设想一个小型电商团队，官网一直跑在HTTP上。大促前他们接入第三方支付回调，支付网关要求回调地址必须是HTTPS，问题才摆到台面上。团队本来打算手动购买证书，后来发现域名已经在阿里云解析，于是直接用DNS验证，半小时左右就签发完成。证书部署到阿里云负载均衡上，由负载均衡统一做SSL卸载，后端Nginx不用逐台改配置。
这个场景有两点可以借鉴。一是把SSL终结放在负载均衡层，证书集中管理，多台服务器同时续期出错的风险就小了。二是到期前一个月设置日历提醒，同时在监控里加上证书有效期检测。证书过期造成的故障，往往就是因为没人记得它什么时候到期。
四、服务器部署要点
如果证书直接装在Nginx上，有几处容易漏掉：
- 选阿里云提供的Nginx对应格式，一般是PEM格式的证书和私钥。
- 证书文件要包含完整的证书链。缺少中间证书时，有的设备正常，有的会报信任错误，排查起来很绕。
- 私钥文件只授权给运行服务的账户读取，例如设置为600，不要放在谁都能读的目录里。
- 改完配置先执行语法检查，通过后再重载服务，然后用在线检测工具或手机浏览器确认链路完整。
部署完成后，可以配置HTTP到HTTPS的301跳转，也可以开启HSTS。但如果HSTS带上了includeSubDomains，要先确认所有子域名都已经支持HTTPS，否则其他服务会跟着受影响。
五、常见问题怎么查
实际遇到的问题主要集中在三类。
第一是证书链不完整，症状通常是部分设备能访问、部分报错，补上中间证书一般就能解决。第二是域名没有完全覆盖。比如只申请了单域名证书，却同时需要保护主域和www，这时申请时把两个域名都加上，或者直接改用通配符证书。第三是自动续期失败，多数原因是DNS记录被误删，或者文件验证路径被改过。续期前后都可以检查一下验证记录是否还在。
六、后续维护建议
证书上线只是开始。建议把证书登记进资产清单，记录域名、签发机构、到期时间和部署位置，省得将来翻找。关键站点最好确认续期流程能自动跑通，或者提前准备一张备用证书。另外定期检查网关和服务器配置，把旧协议和弱加密套件关掉。
阿里云证书本身的申请并不复杂，出问题多半在验证、部署和续期上。先定好证书类型，选对验证方式，再把续期放进日常运维，HTTPS才能真正稳下来。
