SSL 证书常见问题：从基础到高阶原理的完整指南

SSL 证书通用问题

和多数网站所有者或用户一样，您大概率对 SSL 证书有初步认知。您可能在地址栏见过挂锁图标（谷歌 Chrome 浏览器用户现在看到的是“调谐”图标），甚至见过因 SSL 证书过期弹出的警告信息。以下常见问答将说明 SSL 证书存在的意义，以及其为何至关重要。

什么是 SSL 证书？

SSL（安全套接层）证书是一种用于在网页浏览器与服务器之间建立安全加密通信的数字凭证。虽然“SSL”这一术语仍被广泛使用，但它已经被安全性更高的 TLS（传输层安全）协议取代。SSL/TLS 证书可认证网站身份，确保网站与用户之间传输的所有数据经过加密。每张证书都包含公钥和私钥，公钥用于加密数据，私钥负责解密信息。

SSL 和 TLS 有什么区别？

安全套接层（SSL）和传输层安全（TLS）均属于加密协议，都依赖数字证书完成网站身份认证。二者用途相近，但 TLS 是 SSL 的进阶、安全的后继协议，它修复了 SSL 存在的漏洞，引入了强度更高的加密机制、更优的性能以及增强的安全特性。

尽管SSL 已被正式弃用，在很多场景下“SSL”一词仍被普遍用来指代 TLS。如今，几乎所有安全网页连接都基于 TLS 实现。

SSL 证书是否存在不同的加密强度？

加密强度取决于加密过程中使用的密钥长度，最常见的是 128 位和 256 位加密。两种加密强度都能提供强力防护，但 256 位加密被认为安全性更高：更长的密钥长度会使可能的密钥组合数量呈指数级增长，从而更能抵御暴力破解攻击。

不过，128 位加密目前仍具备安全性，足以满足部分应用场景的需求。SSL/TLS 连接实际使用的加密强度，由浏览器与服务器在 TLS 握手阶段协商确定的密码套件决定。

Sectigo SSL 证书 以256位加密满足最高标准要求。

什么是证书颁发机构（CA）？

证书颁发机构（CA） 是负责颁发和管理数字证书的第三方组织，数字证书用于认证网站、个人或组织的身份。证书颁发机构（CA）会验证证书申请者的身份，确保所提供的信息准确可信。

证书颁发机构（CA）的运营遵循由CA/Browser Forum制定的严格行业标准，该组织由证书颁发机构、网页浏览器及其他利益相关方组成。这些标准保障数字证书的真实性、可靠性与安全性。通过遵守这些准则，Sectigo 等证书颁发机构在维护整个互联网生态的信任体系方面发挥着关键作用。

什么是中间证书？

中间证书是顶级根证书与最终颁发给特定网站或组织的终端实体证书之间的桥梁。中间证书由根CA签发，在构建chain of trust过程中起到关键作用，该信任链将高安全性的根证书与终端实体证书关联起来。

作为信任层级体系的核心组成部分，中间证书可确保终端实体证书被网页浏览器识别为有效、可信的证书。

关于SSL证书工作原理及可用证书类型的常见问题

了解SSL/TLS证书的工作流程以及可用的证书类型十分重要，这样您才能按需做出合适的选择。

SSL/TLS的分步工作原理是怎样的？

SSL流程从握手阶段开始，此时浏览器尝试与启用TLS保护的服务器建立连接。在握手过程中，系统使用非对称加密安全交换预主密钥。浏览器会验证服务器的数字证书，确认其有效、可信，且由受认可的证书颁发机构（CA）签发。

预主密钥交换完成后，将被用于生成会话密钥。会话密钥可在会话剩余阶段实现更高效的对称加密，保护客户端与服务器之间交换的所有数据。浏览会话结束时，系统会发送消息终止安全连接。

SSL证书有哪些不同的验证等级？

数字证书提供多种validation levels。验证等级决定了证书颁发机构（CA）对申请个人或组织的审核程度，具体包含以下等级：

• Domain Validation (DV)。DV证书申请流程简便、出证速度快，成本较低，适用于内部站点、测试域名和测试服务器，仅需简单的单步验证流程。
• Organization Validation (OV)。OV证书除验证域名控制权外，还会核验申请组织的合法存续状态，通过确认申请主体为合法经营组织来提供更高等级的信任。
• Extended Validation (EV)。EV证书以提供最高等级验证著称，需经过深度核验流程，在完成详细审核步骤前会先验证企业名称、经营地址等信息，该类证书是电商网站的行业标准选择。

SSL证书有哪些不同的类型？

除了按验证级别分类外，SSL证书还可分为不同类别，分类依据是证书可保护的域名或子域名数量。

• 单域名证书。这类基础证书仅用于保护单个域名或网站，同时覆盖带WWW和不带WWW的版本。
• 通配符证书。通配符证书比单域名证书更灵活，可保护一个主域名，以及该主域名下无限数量的子域名。
• 多域名证书或主题备用名称（SAN）证书。多域名证书是覆盖范围最全面的选项，可保护多个独立域名及其子域名。

什么是通配符SSL证书？

通配符证书可通过单张证书保护一个主域名，以及该主域名下无限数量的子域名。如果要为多个子域名分别部署SSL证书，流程会十分繁琐，通配符证书可以简化这一过程。用户可根据需要随时添加或移除子域名，无需申请新证书。

什么是多域名SSL证书？

多域名SSL证书旨在通过单张证书保护多个不同的域名及其关联子域名。通配符证书仅能保护一个主域名及其所有子域名，与之不同，多域名证书可为管理多个完全不同域名下网站的组织提供灵活的部署方案。

对于有多元品牌需求、或运营多个不同域名下网站的企业而言，这类证书具备很高的实用价值，可简化证书管理工作、降低成本。

什么是代码签名证书？

代码签名证书与SSL证书并不相同，但由于其同样承担建立信任的作用，通常会和SSL/TLS证书一同被提及。代码签名证书用于为软件和应用添加数字签名，确保代码的真实性和完整性，验证代码自开发者签名后未被更改或篡改。这类证书可帮助用户确认自己下载的软件来自合法来源，且未经过恶意修改。

安装与管理

SSL证书的安装与管理流程看似繁琐，但借助适当的指引即可解决常见问题。

申请SSL证书需要满足哪些要求？

申请SSL证书的要求根据所需的验证级别有所不同。但一般来说，申请时需要提交证书签名请求（CSR），并提供域名所有权证明。

什么是证书签名请求（CSR）？

在申请SSL/TLS证书的过程中，申请人必须向证书颁发机构（CA）提交证书签名请求（CSR）。请求内容包括完全限定域名（FQDN）、公钥以及其他身份标识信息，这类附加信息可包含组织名称、组织部门、所在地、国家/地区等。

SSL证书的费用是多少？

SSL 证书的费用差异较大，具体取决于所选的验证级别，以及需要单域名、通配符还是多域名证书。作为受信任的证书颁发机构（CA），Sectigo 提供的单域名 DV 证书一年期售价为 110 美元。Sectigo 还提供多年期定价方案，支持客户以折扣价购买长期有效证书，从而降低成本。例如，6 年期单域名 DV 证书年均费用低至 88 美元，可大幅节省成本并提供便利。

如何在我的 Web 服务器上安装 SSL 证书？

“安装 SSL 证书”流程首先要生成 CSR 并提交给 CA。待证书签发并收到证书文件后，需要将其上传到服务器并完成配置以启用安全通信。不同服务的具体安装流程可能存在差异，但 CA 可在此过程中提供实用指引。

如何检查我的 SSL 证书是否安装正确？

要验证 SSL 证书安装情况，首先可以在浏览器地址栏中查看网站是否使用 HTTPS 协议。点击地址栏中的图标可查看证书的更多详情，例如证书有效期和颁发机构信息。

如果发现安装存在问题，请联系您的 CA 获取进一步协助。

如何续期 SSL 证书？

续期是证书生命周期中的关键环节。手动续期可通过以下步骤完成：生成新的 CSR、将其提交给 CA，待新证书签发后下载即可。

此外，您还可以通过Sectigo Certificate Manager (SCM)等平台实现证书生命周期管理自动化，简化续期流程。自动化解决方案可确保证书按时续期，降低证书过期风险，同时减少人工操作工作量。

我是否需要为每个域名或子域名单独配置 SSL 证书？

为所有域名和子域名提供安全防护十分重要，但无需为大量子域名和域名单独申请 SSL 证书，这正是多域名证书和通配符证书的核心适用场景。

我是否需要删除旧的 SSL 证书？

SSL 证书过期后即失效，此时必须删除或以其他方式移除这类证书，否则其仍有可能被攻击者利用。

我是否应当对 SSL 证书生命周期管理进行自动化改造？

人工开展证书生命周期管理耗时久、成本高，且易出现人为失误，对企业而言，有效完成这项工作的难度正不断提升。随着SSL 证书有效期不断缩短（目前已缩短至 90 天，未来可能进一步缩短至 47 天），自动化不再是可选方案，而是必要措施。

诸如 SCM 这类自动化证书生命周期管理（CLM）解决方案，可简化从签发到续期的全证书生命周期流程。这类工具可降低证书过期风险、提升服务可靠性，并帮助企业适配频率不断升高的证书续期要求。

安全与合规

如果 SSL 的核心用途之一是保障网站、用户及通信安全，那么部署 SSL 证书的相关人员自然会希望尽可能全面地了解其涉及的安全与合规影响。

免费SSL证书使用起来安全吗？

部分机构会免费签发SSL证书。这类证书通常可满足基础加密需求，安全性尚可，但存在明显局限：几乎不提供客户支持，且仅提供DV（域名验证）这一种验证级别选项。

付费SSL证书付费SSL证书则提供高级功能，例如更高的验证级别（OV和EV），可实现更高的信任等级与更强的身份认证。这类证书还配套全面的客户支持，对于重视安全性、合规性与用户信任的企业和网站而言，是更优选择。

未部署SSL证书会有什么后果？

如果没有SSL证书，网站无法建立安全连接，敏感信息极易遭受攻击。潜在用户会收到浏览器发出的警告，更不愿意访问因缺乏SSL保护而被标记为危险的网站。

SSL证书过期后会发生什么？

如果SSL证书被允许过期，网站将无法再建立安全连接，浏览器会触发该站点可能不安全的警告。这可能引发诸多问题：客户信任度下降、网站流量减少、服务中断，以及产生安全漏洞。

SSL证书的有效期是多长？

有效期当前SSL证书的有效期约为397天，但这一规则很快可能发生变化。目前行业正大力推动缩短证书有效期，以应对日益严峻的安全风险。未来，证书有效期可能缩短至90天，甚至仅47天。

如何修复常见的SSL证书错误？

SSL/TLS握手失败或错误可能在客户端和服务器端发生。常见的客户端问题包括系统时间不正确、浏览器配置错误，或者防火墙、杀毒软件的干扰。服务器端的错误可能由协议不匹配、密码套件不兼容、SNI配置错误，或者证书过期、配置不当等问题导致。

要解决这些问题，请确保系统时间准确，使用最新的TLS版本和密码套件，核查SNI配置，并通过Sectigo这类信誉良好的证书颁发机构（CA）妥善管理证书。

其他SSL常见问题

我们还解答了其他一些SSL相关问题，覆盖从SEO影响到SSL卸载、证书固定等策略类的各类内容。

SSL证书对SEO和电子商务有什么影响？

SSL证书是现代电子商务的坚实基础，能够帮助建立消费者信任——若缺乏SSL，消费者往往不愿在线完成购买。请注意，EV证书是现代电子商务的行业标准。SSL对搜索引擎优化（SEO）也有显著影响，因为搜索引擎会优先展示被判定为安全的网站。

什么是自签名SSL证书？我是否应该使用？

自签名SSL证书可由主体自行签名，无需通过受信任的证书颁发机构（CA）获取。这类证书虽然成本较低，但由于缺乏外部验证，会提升潜在安全风险，因此通常不建议用于面向公众的网站。

什么是SSL卸载？

SSL 卸载旨在通过在负载均衡器等专用硬件设备上处理 SSL 加解密流程来提升服务器性能。这种方式可以释放主 Web 服务器的资源，供其他任务使用。此外，它还能降低主服务器的处理负载，提升 Web 应用的可扩展性。

什么是 SSL 绑定？

SSL 绑定，也叫证书绑定，其作用是确保客户端仅接受特定的、预先定义的 SSL 证书或公钥，从而防范中间人（MITM）攻击。这有助于阻止未授权证书在安全连接过程中被使用。

SSL 绑定虽然曾被广泛应用，但由于其实现复杂、出错风险高且缺乏密码学敏捷性，如今已基本被淘汰。配置错误可能导致应用宕机，修复成本高昂。

使用 Sectigo SSL 证书保护您的网站

保护您的网站并建立信任，选择 Sectigo SSL/TLS 证书。作为领先的证书颁发机构（CA），Sectigo 可提供贴合您需求的解决方案，支持多种验证等级，提供覆盖单个或多个域名的安全防护选项。对比我们的证书立即，或查看我们的资源库了解更多信息。

相关文章：

SSL 证书安装指南

7 种 SSL 证书类型详解

什么是 SSL 证书及其工作原理