阿里云免费证书怎么申请？DV 证书限制和部署要点

站点启用 HTTPS 已经是常规做法。Chrome 等浏览器会把未加密的页面标为“不安全”，读者看到这个提示，很可能直接关掉页面。搜索引擎也把 HTTPS 当作排名信号之一。阿里云提供免费的 DV 证书，个人站点和小型项目可以零成本完成加密。本文说明它的适用范围和限制，并用一个博客的部署过程演示完整步骤。

免费证书适合哪些站点

阿里云免费证书是 DV（域名验证型）证书。签发时只确认申请人控制这个域名，不核验企业身份，所以通常很快就能签发。下面几类站点适合使用：

个人博客、作品集、技术文档站。内容以公开阅读为主，访客不需要通过页面确认企业主体。
测试环境或内部演示系统。可以先用免费证书跑通 HTTPS，再决定是否换成付费证书。
展示为主、不涉及支付的小项目。如果页面没有登录表单，证书的作用主要是加密传输。

限制也要先看清。免费证书通常只绑定单个域名，不支持通配符（例如 *.example.com）。每个账号的可申请数量有上限，具体数值以控制台显示为准，不要凭印象规划。电商、金融等需要让用户确认企业身份的站点，应选择 OV 或 EV 类型的付费证书。

申请流程

以下步骤基于阿里云 SSL 证书服务控制台的常规操作，界面文字可能随版本变化。

登录阿里云控制台，进入“SSL 证书服务”，在“免费证书”页面点击创建。
填写要绑定的域名，例如 blog.example.com。域名要和访客实际输入的地址完全一致。
选择验证方式。域名已托管在阿里云解析时，选 DNS 自动验证最省事；否则选文件验证，或手动添加一条 DNS 记录。
提交后等待签发，通常几分钟到数十分钟。长时间没有结果，先回头检查验证记录是否生效。
签发后下载证书。Nginx 服务选择 Nginx 格式。如果证书要部署到负载均衡或 CDN，直接在对应产品里选择即可，不必下载。

案例：个人博客部署 HTTPS

小陈在阿里云 ECS 上用 Nginx 搭了一个个人技术博客，域名 blog.example.com 的解析也放在阿里云。博客原来只能通过 HTTP 访问，地址栏显示“不安全”，留言区也有读者问过这个问题。他按下面的步骤完成了切换：

在免费证书页面申请 blog.example.com。域名已在阿里云解析，他选了 DNS 自动验证，签发很快完成。
下载 Nginx 格式的证书包，得到 .pem 证书文件和 .key 私钥文件，上传到服务器的 /etc/nginx/ssl/ 目录。私钥设为仅 root 可读，避免其他账号读取。
在 Nginx 配置中新增 443 端口的 server 块，写明证书和私钥路径。再把 80 端口的请求跳转到 https，让旧链接也走加密访问。
执行 nginx -t 检查配置语法。输出 syntax is ok 后，再执行 nginx -s reload 重载配置。如果语法报错，先修改配置，不要急着重载。
用浏览器访问站点，确认地址栏出现锁形图标。再用在线证书检测工具检查证书链是否完整。

部署后，小陈又检查了文章里的图片和脚本地址，把残留的 http:// 改成 https://。否则浏览器会提示页面含有不安全的资源，加密效果会打折扣。

证书到期与续期

免费证书有固定有效期。到期后浏览器会直接报错，访客会看到安全警告，可能就此离开。续期前先在控制台确认当前证书的到期时间，再重新申请并部署。小陈把到期日写进了日历，并提前两周设置提醒。

如果证书装在 CDN 或负载均衡上，可以在对应产品里直接选择新证书替换，不必逐台修改服务器文件。站点多、人工容易漏掉的时候，建议把续期流程整理成固定清单：申请、下载、部署、检测。每次做完记一条日志，下次照着清单操作即可。

常见问题排查

验证失败：先用 dig 或在线 DNS 工具查询，确认 DNS 记录已经生效。文件验证时，用外网设备访问验证文件的路径，确认能正常打开。
证书与域名不匹配：申请时填写的域名必须和实际访问的域名一致，包括是否带 www。blog.example.com 和 www.blog.example.com 是两个不同的域名，需要分别确认。
浏览器仍显示不安全：多半是页面里还有 http:// 资源，或者服务器没有配置完整的证书链。打开浏览器开发者工具的控制台，报错信息通常能直接指出具体资源。
无法通过 443 端口访问：确认 ECS 安全组已放行 443 端口，同时检查服务器本机的防火墙规则。