域名和证书是两件事，但很多站长会在阿里云同一个控制台里一起办。流程能串起来，真正容易出岔子的是几个细节。下面按实际操作顺序说。
先把域名的实名信息对准
注册域名后要完成实名认证，注册人信息必须和证件一致。网站如果放在中国大陆的服务器上，还要做 ICP 备案，没备案的站点可能访问不了。
站长老周想用 example-shop.com 开一家手工茶具店，注册时把注册人填成了店铺简称，实名认证被退回两次，前后耽误了一周多。改成营业执照上的全称，一天就过了。注册前花两分钟核对证件，能省下大把等待。
证书类型别多花钱
常见证书按验证强度分三类：
- DV 证书：只验证域名归属，签发快。个人博客、展示页和大多数中小网站用它就够。
- OV 证书：多一步组织身份核验，证书详情里能查到主体信息。需要让访客确认企业身份的站点可以考虑。
- EV 证书：审核最严，但现在多数浏览器的地址栏已经不突出显示企业名称，没有明确的合规要求，通常不值得买。
个人站或测试站直接选免费 DV 证书。如果想让一张证书覆盖 *.example.com 这类子域名，下单前先确认产品支持通配符，别等到部署时才发现不行。
验证方式选错，会卡很久
提交申请后要完成域名验证，常见有两种：
- DNS 验证：在解析里添加控制台给出的 TXT 记录。前提是域名的 DNS 已经在阿里云上。记录留着不删，之后续期会省事。
- 文件验证：把控制台给的文件放到网站根目录指定路径。不方便改 DNS 时可以用，但服务器必须能被外网访问。
老周的网站前面挂了 CDN，源站只放行部分 IP，文件验证一直失败。他改成 DNS 验证，加了一条记录，几分钟就通过了。如果验证报错，可以依次看三件事：记录值有没有完整复制，解析是否已经生效，服务器或 WAF 有没有把验证请求拦下来。
部署的时候检查证书链
证书签发后，要把证书和私钥部署到真正对外提供服务的节点上。阿里云的 CDN、负载均衡、对象存储和 Web 应用防火墙都能在控制台一键部署。自建的 Nginx 则要下载证书文件，在配置里填好证书路径和私钥路径。
部署后重点看证书链是否完整。链条缺一截，电脑浏览器可能还能打开，部分手机浏览器却会直接报不受信任。私钥只放在服务器上，不要通过聊天工具或代码仓库传来传去。
续期提醒要提前设
证书过期后，访客会看到安全警告，访问量和成交都可能掉下来。免费证书的有效期一般比付费的短，而且证书最长有效期规则在收紧，手动续期只会越来越频繁。
老周一开始把证书当成一次性的事。第一次过期时，店铺页面正好赶在周末促销前夕弹出红色警告，他还是靠一位顾客在留言里提醒才知道。之后他做了三件事：日历上设提前三十天的提醒，打开控制台的到期通知，并保留 DNS 验证记录，方便以后做自动续期。
常见问题
- 同一张证书能部署到多台服务器吗？可以。前提是私钥保管好，部署范围和授权范围一致。
- 域名换了服务商，证书要重新申请吗？证书绑定的是域名，不会跟着服务商走。如果解析记录或验证方式变了，就需要重新验证。
- 浏览器为什么提示“不安全”？常见原因是证书已过期、域名不匹配、证书链不完整，或者页面里混入了 HTTP 资源。
