什么是 SSL 证书？
SSL（Secure Sockets Layer，安全套接字层）证书是一种数字证书，用于验证网站身份、启用 HTTPS 并在网站与浏览器之间建立加密连接。它确保登录信息、信用卡号及个人数据等在传输过程中不被拦截。
尽管 SSL 协议已演变为更安全的 TLS（传输层安全协议），但“SSL 证书”仍是行业通用术语。该证书也被称为 SSL/TLS 证书或数字证书，仅允许发送方和接收方读取或修改传输内容。
为什么 SSL 证书很重要？
W3Techs 数据显示，绝大多数网站已部署 SSL 证书，其核心价值体现在以下方面：
加密传输中的数据
SSL 证书启用 HTTPS，对密码、联系方式及支付信息等敏感数据进行加密。FTC 建议使用强加密技术保护传输和存储中的敏感信息，TLS 正是实现这一目标的关键手段。
验证连接身份
证书可确认浏览器正连接到预期网站，防止中间人攻击。若无有效验证，用户可能在不知情的情况下向伪造站点泄露敏感信息。
影响浏览器与搜索表现
未使用 HTTPS 的页面会被浏览器标记为“不安全”，直接影响访客信任度。同时，HTTPS 是 Google 搜索排名因素之一，有助于网站符合现代搜索引擎标准。
保障支付安全
对于电商企业，SSL/TLS 是加密支付信息的基础。虽然 PCI DSS 合规还需额外措施，但加密传输不可或缺。Juniper Research 预测，到 2030 年电子商务欺诈损失将达 1310 亿美元，凸显支付安全的重要性。
什么是 SSL 证书颁发机构（CA）？
CA 是签发 SSL/TLS 证书的权威机构，负责验证域名或组织身份。在签发前，CA 会审核申请信息，并作为信任链的一部分，将网站证书链接至受信任的根 CA。
SSL/TLS 证书是安装在服务器上的小型数字文件，通常包含：
- 域名
- 签发 CA
- 签发日期与过期日期
- 公钥
- 组织详情（如适用）
多数 CA 收费提供服务，但也有免费选项。例如 Let’s Encrypt 提供免费自动化证书，部分主机商也在托管计划中附赠 SSL/TLS 证书。
什么是 SSL 证书链？
SSL 证书链是浏览器验证网站证书可信度的路径，结构如下：
网站证书 → 中间 CA 证书 → 根 CA 证书 → 浏览器信任库
网站证书标识域名并提供公钥；中间证书连接网站与根证书，避免根密钥直接暴露；根证书由浏览器和操作系统内置的信任库认可。若链条缺失、过期或配置错误，用户将看到安全警告。
SSL 证书如何工作？
SSL 证书通过 TLS 握手建立安全连接，流程如下：
- 浏览器连接网站
- 网站发送 SSL/TLS 证书
- 浏览器验证证书及链条
- 双方协商加密参数
- 生成临时会话密钥
- 开始加密数据传输
握手完成后，双方使用临时会话密钥加密通信，比全程使用公钥更高效且安全。CISA 建议禁用 SSL 2.0/3.0、TLS 1.0/1.1 等过时协议，采用最新安全配置。
SSL 证书类型
按验证级别分为三类，均支持流量加密，区别在于身份核验深度：
| 证书类型 | 含义 | 常见用途 | 成本 |
|---|---|---|---|
| 域名验证 (DV) | 仅确认域名控制权 | 博客、落地页、基础网站 | 免费至约 $50/年 |
| 组织验证 (OV) | 验证域名及组织信息 | 需展示企业身份的商用站 | $50–$1,500+/年 |
| 扩展验证 (EV) | 严格法律与运营审核 | 金融、大型企业、电商平台 | $240–$2,200+/年 |
域名验证 (DV) 证书
成本：免费至约 $50/年。
DV 证书通过自动化验证域名控制权，几分钟内即可签发，适用于博客、作品集等基础站点。Let’s Encrypt 提供免费服务，商业 DV 证书起价约 $36.75/年。
组织验证 (OV) 证书
成本：$50–$1,500+/年。
OV 证书额外验证企业名称等信息，增强可信度。单域名 OV 价格区间约为 $48–$74/年，高端方案可达 $1,500+/年。
扩展验证 (EV) 证书
成本：$240–$2,200+/年。
EV 证书经过最严格的法律与运营审查，适合对身份可信度要求极高的机构。单域名 EV 起价约 $239.50/年，企业级方案最高超 $2,200/年。
HTTP 与 HTTPS 的区别
HTTP 以明文传输数据，易被窃听；HTTPS 则通过 SSL/TLS 加密连接，确保数据仅收发双方可读。现代浏览器对 HTTPS 显示挂锁图标，而对 HTTP 站点标记“不安全”。
Shopify 等平台为绑定域名免费提供 TLS 证书，并自动将 HTTP 重定向至 HTTPS，用户可在“设置 > 域名”中启用强制 HTTPS 功能。
如果 SSL 证书遭到泄露该怎么办
一旦发现证书泄露，应立即采取以下措施：
- 吊销证书：联系 CA 吊销受影响证书，必要时协同主机商限制访问。
- 调查原因：检查服务器日志、配置变更及恶意软件痕迹，定位私钥泄露或异常访问源头。
- 替换证书：生成新私钥，向 CA 申请新证书并重新安装配置。
更换后需验证 HTTPS 绑定、重定向规则及 TLS 版本设置。建议部署证书监控、续订提醒和安全扫描，防患于未然。
如果需要保护多个域名怎么办？
根据覆盖范围，证书可分为三类：
| 覆盖类型 | 保护范围 |
|---|---|
| 单域名证书 | 一个域名或子域名（如 example.com） |
| 通配符证书 | 主域名及其所有一级子域名（如 *.example.com） |
| 多域名证书 | 最多覆盖 500 个不同域名 |
单域名证书
每张证书独立管理，续期和私钥各不相同，多域名场景下运维负担较重。
通配符 SSL 证书
一张证书保护主域名及所有一级子域名（如 shop.example.com、blog.example.com），显著简化子域名较多的站点管理。
多域名 SSL 证书
通过 SAN（主题备用名称）字段列出所有受保护域名，增删域名需重新签发证书，SAN 上限因 CA 而异。
SSL 证书过期后会发生什么？
证书过期会导致浏览器弹出安全警告，严重损害用户体验与转化率。为避免此问题，应将证书管理纳入常规维护：
- 定期检查到期日
- 设置自动续期提醒
- 提前部署新证书并验证生效
- 核对地址栏中的域名与 CA 信息
Shopify 用户的 TLS 证书免费且自动续签。若第三方域名显示“SSL 待定”，请检查 DNS 设置并等待最多 48 小时。
如何获取 SSL 证书
可通过建站平台、域名注册商、CA 或 Let’s Encrypt 等渠道获取证书。以 Shopify 为例，操作流程如下：
- 检查平台支持：Shopify 为 myshopify.com、自购/转入域名及可信第三方域名提供免费 TLS 证书。
- 连接域名：正确配置 DNS 记录，证书签发最长需 48 小时，期间可能显示“SSL 待定”。
- 选择覆盖范围：确定需保护的域名数量及层级。
- 选择验证级别：根据业务需求选择 DV、OV 或 EV。
- 提交 CSR：手动申请时需生成包含域名和公钥的证书签名请求（CSR）。
- 验证并安装：完成 CA 验证后，在服务器或控制面板安装证书，并生成新私钥。
- 确认 HTTPS 生效：检查地址栏是否显示 HTTPS 及锁形图标，Shopify 商店应显示“已连接”状态。
- 排查混合内容：确保图片、字体、脚本等资源均通过 HTTPS 加载，否则页面仍可能被标记为不安全。
SSL 证书常见问题解答
SSL 代表什么？
SSL 即“安全套接字层”（Secure Sockets Layer），是早期加密协议。现已被 TLS 取代，但“SSL 证书”仍作为通用术语沿用。
什么是 SSL 证书链？
它是浏览器验证证书可信度的信任路径，由网站证书经中间 CA 链接至根 CA，最终匹配浏览器内置信任库。
我可以获得免费的 SSL 证书吗？
可以。Let’s Encrypt 提供免费自动化证书，多数主机商和建站平台也将 SSL 纳入基础服务。
Shopify 是否包含 SSL 证书？
是的。Shopify 为所有绑定域名（含 myshopify.com、自购/转入域名及可信第三方域名）免费提供 TLS 证书。
SSL 和 TLS 有什么区别？
SSL 是旧版协议，TLS 是其安全升级版。当前网站普遍使用 TLS，但业界习惯仍称其为“SSL 证书”。