作者：博睿谷Eva

以下为SSL证书申请、安装到配置HTTPS的完整步骤，涵盖主流服务器环境（Nginx/Apache/Tomcat）及常见问题排查：

一、SSL证书申请与准备

1. ‌选择证书类型‌

• ‌免费证书‌：Let's Encrypt（有效期90天，需定期续期）、云厂商免费证书（阿里云/腾讯云等提供1年期）
• ‌付费证书‌：OV/EV证书（支持企业验证，增强浏览器信任标识，如绿色地址栏）

2. ‌证书申请流程‌

‌以Let's Encrypt为例（使用Certbot工具）：‌

• ‌验证方式‌：
  • ‌DNS验证‌：添加TXT记录_acme-challenge.example.com→ 随机值
  • ‌文件验证‌：在网站根目录创建指定文件（需保证域名可访问）

3. ‌获取证书文件‌

申请成功后，证书文件通常存放在：

• ‌路径‌：/etc/letsencrypt/live/example.com/
• ‌关键文件‌：
  • fullchain.pem：证书链（包含域名证书和中间CA证书）
  • privkey.pem：私钥文件（需严格保密）

二、服务器SSL证书部署

1. ‌Nginx配置示例‌

编辑Nginx配置文件（如/etc/nginx/sites-available/example.com）：

‌生效配置‌：

2. ‌Apache配置示例‌

编辑虚拟主机文件（如/etc/apache2/sites-available/example.com.conf）：

‌生效配置‌：

3. ‌Tomcat配置（Java Keystore格式）‌

‌转换证书为JKS格式‌：

openssl pkcs12 -export -in fullchain.pem -inkey privkey.pem -out keystore.p12 -name tomcat  
keytool -importkeystore -srckeystore keystore.p12 -srcstoretype PKCS12 -destkeystore keystore.jks  

‌配置Tomcat的server.xml‌：

三、HTTPS访问验证与优化

1. ‌验证证书有效性‌

• ‌浏览器检查‌：访问https://example.com，确认地址栏显示“锁头”标识
• ‌命令行检测‌：

2. ‌SSL性能优化‌

• ‌启用HTTP/2‌：Nginx/Apache配置中增加http2参数
• ‌开启OCSP Stapling‌（减少证书验证延迟）：

3. ‌自动续期（Let's Encrypt）‌

配置crontab自动续期：

四、常见问题排查

1. ‌证书不信任错误‌

• ‌原因‌：中间证书未正确安装
• ‌解决‌：确保证书链文件（fullchain.pem）包含所有中间CA证书

2. ‌私钥不匹配‌

• ‌检测‌：openssl x509 -noout -modulus -in fullchain.pem | openssl md5
  openssl rsa -noout -modulus -in privkey.pem | openssl md5
• ‌结果‌：两个MD5值必须一致

3. ‌混合内容警告（Mixed Content）‌

• ‌原因‌：网页中存在HTTP协议资源（如图片、JS文件）
• ‌解决‌：使用开发者工具（F12）检查Console报错，将资源URL改为HTTPS