什么是SSL证书？

最后更新：2026年3月14日

SSL/TLS证书将公钥绑定到域名（有时还包括组织），以便浏览器可以验证服务器并建立加密的HTTPS连接。大多数面向公众的网站应使用TLS证书来加密在传输中的敏感数据（例如，凭证和支付详情），许多浏览器和合规制度有效地使HTTPS成为关键工作流程的强制要求。

什么是SSL？

SSL（安全套接字层）是用于保护互联网连接的原始协议。尽管TLS（传输层安全性）已经取代了原始的SSL（安全套接字层）协议，但“SSL”仍然是用于保护网络流量的证书的通用术语。现代“SSL”证书与TLS一起使用，TLS加密流量并使用完整性检查，以便被拦截的数据无法在不被检测的情况下被读取或更改。

SSL证书是如何工作的？

SSL/TLS证书利用公钥基础设施（PKI），它依赖于两个不同的加密密钥：

1. 公钥：嵌入在证书中；在TLS握手期间用于密钥交换和服务器身份验证。
2. 私钥：安全地保存在网络服务器上；用于解密预主密钥或在握手期间证明服务器身份。

当浏览器连接到HTTPS网站时，TLS握手通常如下工作：

1. 身份请求：浏览器请求服务器身份。
2. 证书传输：服务器发送其SSL证书和公钥的副本。
3. 验证与认证：浏览器将证书与其受信任的根存储进行验证。然后，服务器使用其私钥签署密钥交换参数的部分。浏览器验证此签名，确认服务器的身份。
4. 密钥交换：客户端和服务器执行临时密钥交换（通常为ECDHE）。双方生成临时密钥并交换公钥部分，使他们能够独立计算共享密钥，而无需通过网络发送。这一过程提供了前向保密性。
5. 加密会话建立：双方使用对称会话密钥在连接期间加密所有传输的数据。

SSL证书用于什么？

在实践中，SSL/TLS（使用证书）提供三个核心属性：

• 加密：将明文数据转换为密文，以防止在传输过程中未经授权的访问。
• 认证：确认服务器属于域名所有者，减轻中间人攻击（MITM）。
• 数据完整性：确保数据在传输过程中未被修改或损坏，通过加密哈希进行验证。

为什么网站需要SSL证书？

在许多情况下，由于浏览器行为和合规要求，SSL/TLS是必需的或强烈期望的：

• 浏览器要求：现代浏览器将非HTTPS网站标记为“非安全”，并实施越来越严格的政策：阻止混合内容，防止访问现代Web API，在某些情况下要求额外的用户确认以进行下载或表单提交。
• 合规要求：如PCI-DSS、HIPAA和GDPR等框架要求在传输中加密数据。
• 搜索引擎优化（SEO）：像Google这样的搜索引擎将HTTPS作为一个小的排名信号。更重要的是，HTTPS启用现代Web功能（如服务工作者）并保留引用数据，这可能间接有利于SEO表现。

如何实施和检查SSL证书

获取证书涉及生成证书签名请求（CSR）。在Linux/Apache/Nginx服务器上，您通常会使用OpenSSL生成：

openssl req -new -newkey rsa:2048 -nodes -keyout yourdomain.key -out yourdomain.csr

如何检查SSL证书的到期

一旦安装了证书，验证配置是否正确以及有效期是否符合预期至关重要。您可以手动检查SSL证书的到期并通过命令行（CLI）使用以下命令检查实时证书详细信息：

openssl s_client -connect yourdomain.com:443 -servername yourdomain.com | openssl x509 -noout -dates

此命令连接到服务器，检索活动证书，并过滤输出以显示notBefore（开始）和notAfter（到期）日期。

常见实施陷阱

即使拥有有效证书，您的网站也可能显示“非安全”，原因包括：

• 中间链问题：如果您未能安装“CA Bundle”，浏览器无法将您的证书链接回根CA。
• 主机名不匹配：证书的主题备用名称与请求的主机名不匹配（例如，使用仅对example.com有效的证书访问store.example.com）。
• 混合内容：页面是HTTPS，但图像或脚本通过不安全的HTTP加载。

SSL证书的类型

SSL证书根据两个主要因素进行分类：验证级别和它们保护的域名数量。验证级别反映了证书颁发机构（CA）进行的背景调查的深度。

按验证级别

不要仅仅查看定义，而是使用此框架将您网站的目的与适当的验证级别匹配。