网站刚上线那几天，最容易把访客吓走的，往往是地址栏里那行“不安全”。很多站长第一次看到都会愣一下，然后才想起要上 HTTPS。阿里云提供的免费 SSL 证书，是个人站和小团队里用得最多的一种，省事也够用，但有几个限制得先弄清楚，不然申请到一半才发现不适合。
这篇文章按实际操作的顺序来讲：证书管什么，免费版有哪些限制，阿里云免费 SSL 怎么申请和部署，最后说说新手最容易踩的坑。
SSL 证书到底管什么
简单说，SSL 证书做两件事。一是加密网站和访问者之间的数据传输，别人在中间截获到的内容是乱码。二是向浏览器证明，这个域名确实归你所有。证书生效后，网址从 http 变成 https，地址栏出现锁形图标。
对搜索引擎来说，HTTPS 是一个参考因素，但装上证书不会让排名立刻涨上去，它更像网站的基本功。对访客来说，感受更直接：登录、留资料、付款时，表单内容不会裸奔。电商、会员系统和后台页面尤其需要这一层。
阿里云免费 SSL 的基本情况和限制
阿里云免费证书通常是 DV 类型，只能绑定单个域名，签发机构是主流 CA。有效期一般为 3 个月左右，到期要续期或重新签发，所以它更适合能接受定期维护的站点。
有两点要先看清。第一，免费证书一般不支持通配符，如果你要覆盖 *.example.com 下的多个子域名，免费版不够用，需要考虑付费证书。第二，免费额度和规格会随政策调整，能申请几张、支持哪些功能，都以控制台页面的实际说明为准，别只参考别人文章里的截图。
一个具体例子：小林的茶具小店
小林在杭州做手工茶具，网站域名是 tearoom.example.com，托管在阿里云 ECS 上。上线前他想把 HTTPS 配好，下面就用他的操作来说明流程。
第一步：找到证书入口
登录阿里云后，在产品搜索里找到“数字证书管理服务”，进入 SSL 证书页面，从免费证书入口开始申请。
第二步：填写域名，选择验证方式
提交时要填写绑定的域名，并选择验证方式，常见的有两种：
- DNS 验证：在域名解析里添加控制台指定的 TXT 记录。域名已经托管在阿里云 DNS 的话，这种方式最省事。
- 文件验证：把系统给的验证文件放到网站根目录。适合能直接登录服务器、又不想动 DNS 的情况。
小林的域名就在阿里云解析，所以选了 DNS 验证。加记录只用了几分钟，回到控制台点击验证即可。
第三步：下载证书，配置 Nginx
签发后，列表里的状态会变成“已签发”。下载时注意格式，Nginx 一般选 PEM，Apache 选对应的 Apache 格式。下载包里有证书文件和私钥文件，私钥是证书的核心，妥善存放即可，别通过聊天工具或邮件随手发给别人。
Nginx 的配置大致要做三件事：
- 在 server 块里监听 443 端口，并开启 ssl
- 填入证书文件和私钥文件的实际路径，路径写错是最常见的报错来源
- 把 80 端口的 http 请求用 301 跳转到 https
小林改完配置，先执行语法检查，确认没问题再重载 Nginx。打开网站，地址栏终于出现了锁。
新手常踩的几个坑
证书迟迟不签发
多数时候是 DNS 记录还没生效，或者解析值抄错了。可以先用公共 DNS 查询工具确认 TXT 记录已经能正确返回，再回控制台重新验证，别反复点提交。
部署后仍显示不安全
常见原因是页面里还夹着 http 开头的图片、脚本或样式，也就是混合内容。把这些资源改成相对路径或 https 地址，然后打开浏览器开发者工具看控制台报错，报哪条改哪条。
证书快到期才想起续期
免费证书周期短，这是它最容易被忘的地方。建议在控制台或监控系统里提前设好到期提醒。阿里云部分产品支持自动部署，如果你的架构允许，能少做很多手动操作。
只开了 443，没做跳转
只开 443 而不跳转，访客还是能从 http 进来，搜索引擎也可能同时收录两个版本，权重分散。配置 301 永久重定向，把入口统一到 https 版本，这个问题就解决了。
免费证书能满足大多数个人站和初创项目的基础加密需求。验证方式选对，部署时别漏跳转，到期前留出续期时间，这三件事做好，证书基本不用你再操心。
