网站如果还是 http，浏览器可能在地址栏标出“不安全”，访客一看到提示就容易直接关掉页面。搜索引擎也更倾向于收录加密页面。所以无论是个人博客还是公司官网，迟早都要上 HTTPS。本文按顺序说明阿里云https证书怎么选、怎么申请、怎么部署，以及续期时最容易漏掉的环节。
一、先确定需要哪种证书
证书按验证强度分为三类，审核材料和适用场景各不相同。
- 域名型证书（DV）：只核对域名归属，签发快。个人博客、测试站用它就够了。
- 企业型证书（OV）：还要核验企业主体信息，适合需要对外展示品牌的官网。
- 增强型证书（EV）：验证最严格。过去浏览器地址栏会显示企业名称，现在的展示方式已经有所变化，选之前先确认当前效果。
阿里云控制台里的免费证书一般是 DV 类型，按单个域名申请。能否绑定多个域名、一个账号最多能申请几张，以购买页和配额页面显示为准，不要凭印象下单。如果要覆盖同一主域下的多个子域名，可以看通配符证书；如果一个站点要绑定多个不同的主域，就看多域名证书。选哪种取决于要保护的地址有几个，和网站大小关系不大。
二、申请流程与验证方式
以一个小型电商团队为例。他们的网站域名是 shop.example.com，需要尽快上线 HTTPS，申请时大致按下面的步骤走：
- 登录阿里云控制台，进入“数字证书管理服务”，点击“证书申请”。
- 选择免费证书，填写 shop.example.com，确认类型为 DV。
- 选择域名验证方式。如果域名解析放在阿里云，DNS 验证比较省事，系统可以自动添加 TXT 记录；解析不在阿里云时，需要手动添加。文件验证要把指定文件上传到网站根目录，适合不便改解析的情况。
- 提交后等待签发。一般很快完成，状态没有变化时先别重复提交，多等一会儿再看。
有一个细节容易踩坑：域名前面如果套了 CDN 或负载均衡，文件验证的请求可能被转发到别处，验证会一直失败。这种情况直接改用 DNS 验证，比反复排查省时间。
三、部署前后的检查和配置
部署前先确认两件事。域名解析已经指向服务器 IP，服务器的 443 端口在安全组和防火墙里是放开的。这两项没通，证书装上也访问不了。
证书签发后在详情页下载。阿里云提供 Nginx、Apache、Tomcat 等格式，下载时选对服务器类型，否则拿到的文件用不上。以 Nginx 为例，需要做三件事：
- 把证书文件（.pem 或 .crt）和私钥（.key）上传到服务器，比如 /etc/nginx/ssl/ 目录。私钥只放在服务器上，不要发给别人，也不要提交到代码仓库。
- 在 server 块中开启 443 端口，并写明 ssl_certificate 和 ssl_certificate_key 两个路径。
- 增加一条从 80 端口跳转到 HTTPS 的规则。不做跳转的话，http 和 https 两个地址都能打开，内容重复，旧链接也拿不到加密版本。
配置写完后先执行 nginx -t 检查语法，通过后再用 nginx -s reload 重载。
部署完成后，用浏览器打开站点，看地址栏是否显示安全锁。再用在线检测工具查一下证书链。如果提示证书链不完整，检查 ssl_certificate 指向的文件是否包含中间证书，必要时换成完整链版本。
四、续期和常见问题
免费证书有效期较短，需要定期更新。人工续期最容易忘记，忘了之后访客会突然看到安全警告，事先通常没有任何征兆。
阿里云会在证书到期前提醒。如果证书部署在阿里云的 CDN、负载均衡等产品上，可以在控制台开启自动续期与部署，基本不用再管。部署在自己 ECS 服务器上的证书，要么每次手动更新，要么用定时任务或 ACME 客户端自动完成。自动化之前要先想清楚：新证书文件替换后，服务怎么重新加载。否则文件换了，服务还在用旧证书。
实际使用中，最常见的问题有两个。第一，部署后仍显示“不安全”，多半是页面里混入了 HTTP 资源。图片、脚本、样式的地址如果还写着 http://，改成 https:// 或相对路径即可。第二，DNS 验证失败，多数是解析记录还没生效。可以先用 nslookup 或在线工具确认 TXT 记录已经能查到，再重新提交。
五、什么时候该升级
个人站和测试站，用免费证书上线就可以了。业务开始涉及登录、支付或品牌展示时，再考虑 OV 或更高级别的证书。无论用哪种，都要把证书到期日记进日历或监控里，比等到报警时再处理省心。
