第一次为网站开启HTTPS，很多人会卡在证书这一步。证书选哪种、怎么装、到期怎么处理，每个环节都可能出岔子。这篇文章以阿里云SSL证书服务为例，从选型讲到日常运维，把容易踩的坑提前说清楚。
SSL证书到底在做什么
SSL证书主要做两件事。第一，确认域名的身份，让访问者知道自己连的是真站点。第二，加密浏览器和服务器之间的数据，防止内容被偷看或篡改。地址栏那把小锁，就是证书在工作。
常见证书按验证深度分三类。DV证书只核实域名归你所有，签发快，价格低，个人博客和一般业务站点基本够用。OV证书会再审核企业主体信息，适合需要展示公司身份的官网。EV证书审核最严，早年地址栏会直接显示企业名称，现在主流浏览器已经弱化了这个展示。所以不必为了它多花钱，关键看你的实际需求。
阿里云上的证书怎么选
阿里云SSL证书服务既有免费证书，也有付费证书。免费证书以DV单域名为主，适合测试环境或预算紧的个人项目。它的有效期较短，单个账号的签发数量也有限，具体额度要到控制台里查看，别凭印象估算。付费证书包括单域名、通配符（如 *.example.com）和多域名（SAN）等形式，覆盖的架构更多。
选型前可以先数一数要绑定的域名。比如某小型电商团队有一个主站、一个后台和几个活动页，分别挂在不同子域名下。如果每个子域名单独申请一张证书，续期次数会很多，漏掉一张的概率也跟着上升。更省事的做法是：主站和常用子域名用通配符证书，少数特殊场景再单独配单域名证书。需要盯的证书少了，出错的机会也少了。
申请与域名验证
进入阿里云控制台的SSL证书服务后，选证书类型、绑定域名、提交申请。提交之后要完成域名验证，常见有两种方式：
- DNS验证：在域名解析里添加控制台给出的TXT记录。域名如果已经托管在阿里云解析，一般能自动完成，省心。
- 文件验证：把指定文件放到站点根目录的指定路径下。适合不方便改DNS的情况。提交前先用浏览器访问一下这个文件地址，确认能打开，否则验证会一直失败。
验证通过后，证书进入签发阶段。DV证书通常几分钟到几小时就能拿到。OV和EV要多走一道企业信息审核，耗时明显更长，如果有上线时间压力，尽早开始办理。
部署：装上之后还要验一遍
签发只是拿到了证书文件，装到服务上才算生效。如果服务本身在阿里云上，比如CDN、负载均衡SLB、对象存储OSS，直接在证书管理里点一键部署即可，不用手动上传和改配置。
服务跑在自建服务器或其他云厂商那里时，要把证书文件下载下来，按服务类型选格式。Nginx一般用PEM格式的证书加私钥；Tomcat或部分Java应用常见的是JKS或PFX。格式选错，服务可能起不来，报错信息也不直观，所以下载前先确认目标服务需要哪种格式。
部署完成后，用浏览器和在线检测工具各测一次，主要看三件事：证书链是否完整，域名是否匹配，协议版本是否正常。证书链不完整是最常见的坑。有的浏览器能正常访问，部分旧设备却会直接报错。中间证书要和主证书一起配上，不能指望客户端自己补全。
续期为什么最容易漏
证书过期后，访问者会看到明显的安全警告，登录、支付这类功能也可能跟着中断。证书有效期整体上越来越短，靠人记日期续期的办法风险越来越大。
回到前面那个电商团队。他们有一张证书正好在节前过期，活动页被浏览器拦下，流量损失很明显。事后做了两件事。一是在阿里云证书控制台开启到期提醒，并把提醒同步到运维群，让不止一个人看得到。二是对已经部署在CDN上的证书启用自动续期相关功能，减少手工操作。
自建服务的证书如果无法自动续期，可以考虑用开源自动化工具配合阿里云API，定期签发并替换证书。这种做法要注意权限。私钥和配置文件要严格限制访问，自动化脚本本身也是需要保护的入口。
日常管理的几条建议
- 给每张证书建一份台账，写清绑定的域名、部署位置、到期时间和负责人。信息只存在某个人的脑子里，人员调整时最容易出事。
- 测试和生产分开用证书。测试环境的替换、吊销操作，不该影响线上服务。
- 私钥文件妥善保管，不要发到聊天群，也不要提交到代码仓库。私钥一旦泄露，通常要吊销证书并重新签发。
- 续期时先部署新证书，确认生效后再吊销或删除旧证书，避免两者切换之间出现空档。
- 定期检查HTTPS配置，把已经不安全的旧协议版本关掉。
从清单开始
SSL证书本身不难理解，麻烦的通常是长期管理。选对证书类型，把验证和部署走通，再把续期放进日常运维，大部分问题都能提前解决。如果你正在用阿里云，先把现有证书列成一张清单：哪些快到期了，哪些还没配完整的证书链，哪些只有一个人知道在哪里。
