SSL证书申请与配置全指南（2026）：免费 vs 付费怎么选

SSL证书选购与配置全指南：免费vs付费怎么选

快速结论

• 个人网站/博客：Let’s Encrypt 免费证书，自动续期，零成本
• 中小企业官网：阿里云/腾讯云免费 DV 证书，90 天有效期，到期要重新申请（不能自动续期）
• 金融/电商/政务：购买 OV（组织验证）或 EV（扩展验证）证书，显示企业名称，增强信任
• 2026 年要点：Chrome 已不显示绿色地址栏，EV 证书视觉优势减弱，OV 性价比更高；免费证书有效期普遍缩到 90 天，续期必须排进运维流程

SSL证书基础知识

为什么需要HTTPS？

1. 安全性：加密传输，防止数据被中间人截获或篡改
2. SEO影响：Google/百度对HTTPS站点有排名加分
3. 浏览器信任：无HTTPS显示"不安全"，影响用户体验和转化率
4. 功能限制：Service Worker、HTTP/2、摄像头/麦克风API等现代功能要求HTTPS

SSL证书类型

免费SSL证书方案

Let’s Encrypt（最推荐）

Let’s Encrypt是非营利机构提供的免费CA，颁发DV证书，被所有主流浏览器信任。

特点：

• 完全免费，无限续期
• 证书有效期 90 天，需要定期续期（可自动化）
• 支持通配符证书（*.yourdomain.com）
• 频率限制：每个注册域名每周最多签发 50 张，同一组域名每周最多 5 张重复证书

有效期会越来越短：按 ISRG 公布的时间表，2027-02-10 起默认档缩短到 64 天，2028-02-16 起 45 天。手动续期这条路基本走不通，建议现在就把自动续期配好。

Certbot自动申请（Ubuntu/Nginx）：

# 安装Certbot
sudo apt update
sudo apt install certbot python3-certbot-nginx

# 申请证书（自动配置Nginx）
sudo certbot --nginx -d yourdomain.com -d www.yourdomain.com

# 测试自动续期
sudo certbot renew --dry-run

# 查看自动续期定时器（apt 安装的 certbot 自带 systemd timer）
systemctl list-timers | grep certbot
# 没有的话手动启用：
sudo systemctl enable --now certbot.timer

如果坚持用 cron，任务要写进 /etc/cron.d/certbot（不要写进 crontab -e）：系统级 cron 文件需要用户字段，用户级 crontab 不需要，写混了任务不会执行。

通配符证书（DNS验证）：

sudo certbot certonly \
  --manual \
  --preferred-challenges dns \
  -d "*.yourdomain.com" \
  -d "yourdomain.com"

阿里云免费证书（个人测试证书）

阿里云现在把免费证书叫「个人测试证书（免费版）」，规则比早年收紧了不少：

• 每个实名主体每个自然年 20 张额度
• 有效期 90 天，不支持续费，到期后重新申请
• 只支持单域名，不支持通配符和多域名
• 不支持证书托管与自动部署，也没有人工技术支持

申请步骤：

1. 登录阿里云控制台 → 数字证书管理服务 → 证书申请 → 个人测试证书（免费版）
2. 填写域名，选择验证方式（文件验证/DNS 验证）
3. 完成验证后，下载证书文件并上传到服务器

优势： 不需要技术背景，点点鼠标就完成；适合手里没有自动化脚本、愿意每 3 个月手动换一次证书的场景。

申请阿里云免费SSL证书

腾讯云免费DV证书

腾讯云的免费证书由 TrustAsia 签发，同样是 90 天有效期：

• 一个账号最多 50 张，吊销或到期后 24 小时内释放额度
• 只支持单域名，不支持泛域名和 IP
• 不支持续费，到期需重新申请

例外是 CDN / EdgeOne 场景：控制台可以走 Let’s Encrypt 证书并自动续期，不用自己盯着 90 天。域名托管在 DNSPod 的，也可以在 DNS 解析里一键申请。

申请腾讯云免费SSL证书

华为云免费证书

华为云也提供免费测试证书：

1. 华为云控制台 -> 云证书管理
2. 申请测试证书
3. 支持自动部署到华为云 ELB/CDN

云平台证书 vs Let’s Encrypt

建议：三条路的有效期都是 90 天，区别只在续期是否自动。能登服务器就用 Let’s Encrypt + Certbot；站点全托管在腾讯云 CDN/EdgeOne 上的，用它的自动续期最省事；阿里云免费版没有自动部署，选它就要接受每 3 个月手动换一次。

宝塔面板一键SSL

使用宝塔面板的用户，SSL 部署更简单：

1. 进入网站设置 -> SSL
2. 选择 Let’s Encrypt
3. 勾选需要的域名
4. 点击"申请"
5. 开启"强制HTTPS"

宝塔会自动处理证书申请、Nginx 配置和自动续期。面板本身的安装与常见问题见 宝塔面板使用指南。

付费SSL证书：何时值得买？

OV证书（组织验证，推荐企业）

验证流程：

1. 提交企业营业执照
2. CA机构电话核实（1-3个工作日）
3. 颁发证书

证书信息展示： 点击浏览器锁图标可看到企业名称，增强用户信任。

价格参考（2026-10，以控制台实时价为准）：

• 阿里云 OV 单域名：约 1688 元/年
• 腾讯云 OV 单域名：约 1999 元/年
• 国际 CA（DigiCert/Comodo）：约 3000–8000 元/年

适合： 电商网站、B2B平台、金融服务

EV证书（扩展验证，高安全要求）

EV证书验证最严格，需要提供更多企业文件，审核周期5-7个工作日。

注意： Chrome在2019年取消了绿色地址栏显示，EV证书的视觉标识优势大幅减弱。现在EV证书主要价值在于：

• 在证书详情中显示完整企业名称
• 某些行业监管要求（如金融牌照申请）

价格参考： 5000-30000元/年

适合： 银行、证券、保险、政务网站

Nginx HTTPS配置完整示例

基础HTTPS配置

server {
    listen 80;
    server_name yourdomain.com www.yourdomain.com;
    # 跳转用 $host，$server_name 只会取 server_name 的第一个值
    return 301 https://$host$request_uri;
}

server {
    listen 443 ssl;
    http2 on;   # nginx 1.25.1 之前写在 listen 里：listen 443 ssl http2;
    server_name yourdomain.com www.yourdomain.com;

    # SSL证书路径
    ssl_certificate /etc/letsencrypt/live/yourdomain.com/fullchain.pem;
    ssl_certificate_key /etc/letsencrypt/live/yourdomain.com/privkey.pem;

    # SSL优化配置
    ssl_protocols TLSv1.2 TLSv1.3;
    ssl_ciphers ECDHE-RSA-AES128-GCM-SHA256:ECDHE:ECDH:AES:HIGH:!NULL:!aNULL:!MD5:!ADH:!RC4;
    ssl_prefer_server_ciphers on;
    ssl_session_cache shared:SSL:10m;
    ssl_session_timeout 10m;

    # HSTS（HTTP严格传输安全）
    add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;

    # 其他安全头（X-XSS-Protection 现代浏览器已停用，不建议再加）
    add_header X-Frame-Options SAMEORIGIN;
    add_header X-Content-Type-Options nosniff;

    location / {
        proxy_pass http://127.0.0.1:3000;
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        proxy_set_header X-Forwarded-Proto $scheme;
    }
}

通配符证书配置

一张通配符证书覆盖所有子域名：

# 适用于 *.yourdomain.com 的所有子域名
server {
    listen 443 ssl http2;
    server_name ~^(?<subdomain>.+)\.yourdomain\.com$;

    ssl_certificate /etc/letsencrypt/live/yourdomain.com/fullchain.pem;
    ssl_certificate_key /etc/letsencrypt/live/yourdomain.com/privkey.pem;

    # 根据子域名路由到不同后端
    location / {
        proxy_pass http://127.0.0.1:3000;
    }
}

SSL证书最佳实践

1. 检测证书安全评分

使用 SSL Labs 测试你的HTTPS配置，目标：A+评分

常见扣分项：

• 支持过时的TLS 1.0/1.1（禁用即可）
• 未配置HSTS（添加Header）
• 弱密码套件（更新ssl_ciphers）

2. 证书到期监控

# 检查证书有效期
openssl s_client -connect yourdomain.com:443 -servername yourdomain.com 2>/dev/null \
  | openssl x509 -noout -dates

# 告警：证书30天内到期时发送通知
EXPIRE_DATE=$(openssl s_client -connect yourdomain.com:443 2>/dev/null \
  | openssl x509 -noout -enddate | cut -d= -f2)
EXPIRE_EPOCH=$(date -d "$EXPIRE_DATE" +%s)
NOW_EPOCH=$(date +%s)
DAYS_LEFT=$(( ($EXPIRE_EPOCH - $NOW_EPOCH) / 86400 ))

if [ $DAYS_LEFT -lt 30 ]; then
  echo "警告：证书将在${DAYS_LEFT}天后到期！"
  # 发送告警通知
fi

3. OCSP Stapling（提升HTTPS速度）

# 在Nginx中开启OCSP Stapling
ssl_stapling on;
ssl_stapling_verify on;
resolver 8.8.8.8 8.8.4.4 valid=300s;
resolver_timeout 5s;

常见问题

Q：证书申请失败怎么办？

1. 确认域名已解析到服务器 IP
2. 确认 80 端口可以外部访问
3. 检查防火墙是否放行
4. Let’s Encrypt 有频率限制（每个注册域名每周 50 张）

Q：HTTPS 生效但显示不安全？

通常是"混合内容"问题——页面中有 HTTP 资源（图片/CSS/JS），全部改为 HTTPS 或相对路径。

Q：怎么检查证书有没有配好、还剩几天？

# 看证书链、到期时间
openssl s_client -connect yourdomain.com:443 -servername yourdomain.com </dev/null 2>/dev/null \
  | openssl x509 -noout -subject -issuer -dates

输出里的 notAfter 就是到期时间。想看得更细（协议版本、密码套件、证书链完整性），用 SSL Labs 或 curl -vI https://yourdomain.com 看 TLS 握手信息。

Q：浏览器报"证书链不完整"怎么办？

Nginx 里只配了站点证书、漏了中间证书。把 fullchain.pem（站点证书 + 中间证书）配给 ssl_certificate，privkey.pem 配给 ssl_certificate_key，不要用单独的 cert.pem。

Q：证书到期了怎么办？

• Let’s Encrypt：先 systemctl status certbot.timer，再 sudo certbot renew --dry-run；确认自动续期真的在跑，而不是装了没启用
• 云平台免费证书：到期前重新申请一张并在控制台替换，没有自动续费

Q：多个域名需要多张证书吗？

• 同一主域：用通配符证书（*.example.com）
• 不同主域：每个域名单独申请

推荐方案总结

HTTPS 本身的成本已经接近零，真正要花心思的是续期：免费证书都是 90 天，手动续迟早会漏。先把自动续期跑通，再谈证书类型。

延伸阅读：

• 域名选购与备案指南：新手建站第一步
• 域名转入怎么操作：续费太贵就搬家
• 域名注册与 ICP 备案全流程指南
• Nginx 配置优化指南
• 云服务器安全防护实战
• Cloudflare 国内访问慢怎么办