SSL 證書安裝指南

SSL/TLS 證書透過加密與身份認證保障數碼通訊安全，可協助網站及應用程式保護傳輸中的數據，啟用 HTTPS 協定。這類證書一般由證書頒發機構（CA）頒發，而且必須正確安裝才能發揮預期作用。

證書安裝流程包含上傳證書檔案、配置伺服器，針對 Zimbra、Nginx、Tomcat 等不同平台有對應的具體操作指引。安裝前需完成生成 CSR、選擇合適的SSL 證書類型等前置步驟，安裝後則需重點完成測試、監控與續期相關工作。Sectigo 等受信任的 CA 會提供操作指引，以及對應不同網站、業務需求的 SSL 證書選項，簡化整個流程。

SSL 是 Secure Sockets Layer（安全套接層）的縮寫，TLS 是 Transport Layer Security（傳輸層安全）的縮寫，後者是現時廣泛使用的現代安全協定。受信任的 CA 頒發 SSL/TLS 證書後，需完成安裝，才能讓證書從證書生命週期的申請階段過渡到配置啟用階段，進入啟用狀態、正式可用。

證書安裝屬於技術操作流程，但並沒有大家想像中那麼複雜。本指南將拆解 SSL 證書安裝的運作邏輯、安裝前需做好的準備工作，以及常見伺服器和平台上的證書安裝方法。

如何安裝 SSL 證書？

SSL/TLS 證書的申請使用流程包含多個步驟：

按需求選擇對應的證書類型及合適的驗證等級。
向受信任的 CA 購買 SSL 證書。
生成並向 CA 提交CSR（證書簽名請求）。
後續 CA 會提供完成域名驗證的具體操作指引。
驗證完成後，CA 會發出可供下載的 SSL 證書檔案。這些檔案一般包含多個部分，例如證書主體檔案、用於連接根證書與終端用戶證書的中繼證書。
對於大部分伺服器，下一步需要上傳證書檔案，再按需要編輯配置檔案。
測試安裝。
監控證書狀態，並在到期前完成續期。

我們在下方整理了安裝前需要準備的事項相關的更多資訊。

確認所需證書類型

在安裝證書前，您需要確認實際要安裝的SSL證書類型。可選的證書類型有多種，但最終的選擇取決於所需的驗證級別，以及需要覆蓋的域名數量。

SSL證書共有三種驗證級別，包括提供最高驗證等級的擴展驗證（EV）、組織驗證（OV）和域名驗證（DV）。之後您還需要確認所需的是單域名、萬用字元還是多域名SSL證書。

購買SSL證書

建議從受信任的證書頒發機構（CA）處購買證書，例如Sectigo。證書頒發機構（CA）負責驗證證書申請，並簽發瀏覽器和系統認可的受信任證書。完成購買後，CA會引導您完成後續步驟，包括證書驗證和簽發。

生成CSR

證書簽名請求在SSL證書生命週期的早期階段（包括申請、註冊和簽發環節）發揮着關鍵作用。您必須在流程開始時建立並提交CSR，沒有CSR將無法完成安裝。這些加密訊息包含申請SSL/TLS證書的個人或組織的關鍵資訊。

用於識別申請者的資訊包括：

一個或多個使用者備用名稱（SAN），該欄位對應域名系統（DNS）中的指定位置。
組織名稱，例如OV和EV證書所需的官方公司名稱；組織所在的法定地址。
（可選）申請組織使用的，或與其關聯的電郵地址。

建立CSR時會自動生成公鑰，公鑰是SSL證書所需密鑰對的其中一部分。取得CSR中的資訊後，CA即可着手製作申請的證書。

不同伺服器/平台的SSL安裝

不同服務和平台的SSL安裝流程可能存在差異。因此，您需要遵循對應伺服器的專屬操作說明，確保證書正確安裝。我們在下方列出了部分安裝流程範例：

Zimbra。存取Zimbra管理控制台，依次選擇配置，再選擇證書下一步，選擇安裝數碼證書。使用證書安裝精靈選擇目標伺服器，以及「安裝商業簽名證書」選項。上傳相關檔案後，點擊安裝。
Nginx 網頁伺服器。您將透過ZIP壓縮檔收到一個「ca-bundle」檔案。請使用命令 cat domain_com.crt domain_com.ca-bundle > ssl-bundle.crt 將證書檔案與CA根證書套件拼接。隨後，將拼接後的證書套件與密鑰存入對應的Nginx SSL目錄。建議啟用OCSP Stapling以提升SSL握手速度。檢查配置語法無誤後，重啟伺服器。
Tomcat 密鑰庫。首先執行命令 keytool -import -trustcacerts -alias server -file your_site_name.p7b -keystore your_site_name.jks. 確認資訊應顯示證書回覆已安裝。請確認您信任該證書。配置時，請使用文本編輯器打開Tomcat的server.xml檔案，找到密鑰庫將要保護的連接器，指定密鑰庫檔案名稱與密碼。儲存server.xml檔案的修改後，重啟Tomcat。
Outlook Web Access。打開Internet服務管理員，進入「內容」頁面，選擇 目錄安全性 及 伺服器證書。在 待處理的證書要求 中，選擇選項以 處理待處理要求。在 處理待處理要求 中找到之前收到的證書，查看證書摘要後點擊 下一步。安裝中繼證書並為Outlook Web Access啟用SSL。此操作涉及 Exchange 目錄，具體是在 目錄安全性 索引標籤下，點擊編輯中的 安全通訊。勾選對應的 需要安全通道（SSL）。