SSL 证书怎么申请？三条免费路线对照着装

免费证书能解决绝大多数个人站和小站的需求，掏钱的场景其实不多。结论先给：有 SSH 权限就用 Let's Encrypt 配 Certbot，装了宝塔就在面板里点，域名和服务器在同一家云厂商就走控制台领。下面把 SSL 证书怎么申请和安装拆成三条路线加三步自查，照着做半小时能上线 HTTPS。

免费 SSL 证书从哪申请？三条路线对号入座

• 路线一，Let's Encrypt + Certbot：适合有 SSH 权限的云服务器、愿意敲命令的人。完全免费，单张证书 90 天有效，可自动续期。限制是只做域名验证（DV），证书里不会显示公司名。

• 路线二，宝塔面板：适合装过面板、不想碰命令行的新手，图形界面点几下就行，底层多半也是 Let's Encrypt。限制是面板版本太旧会签失败，动手前先升级面板。

• 路线三，云厂商免费 DV 证书：适合域名和服务器在同一家、习惯用控制台的。控制台领、控制台下载、自己传。限制是有效期通常 90 天，到期要手动重签再重传。

付费证书什么时候值得买：需要证书里展示企业主体（OV/EV）、需要多域名合并成一张、或者要更长有效期和人工支持。价格从几百到几千一年不等，以 CA 官方报价为准。

路线一：Let's Encrypt 申请与安装实操

前提两个：域名 A 记录已经指向这台服务器，安全组放行 80 和 443。

1. SSH 登录服务器，装 Certbot。Debian/Ubuntu 用 sudo apt install certbot python3-certbot-nginx，CentOS 换成 yum install certbot python3-certbot-nginx。

1. 执行签发：sudo certbot --nginx -d example.com -d www.example.com。按提示填邮箱、同意协议，裸域和 www 要一起写进去。

1. 屏幕出现 Congratulations! 并提示证书在 /etc/letsencrypt/live/example.com/，就是签成功了，Nginx 配置也会被自动改写。

1. 测一下续期：sudo certbot renew --dry-run，不报错说明自动续期能跑通。

Certbot 装完一般会自带定时任务，用 systemctl list-timers | grep certbot 能看到下次执行时间；没有的话手动加一条 cron 也不算麻烦。

路线二：宝塔面板怎么签、怎么装

1. 网站 → 找到站点 → 设置 → SSL → Let's Encrypt，勾选要签的域名，点申请。

1. 验证方式选文件验证，面板会自己写验证文件，不用手动传。

1. 签发成功后打开「强制 HTTPS」开关，这一步会自动加 301 跳转，别再去配置文件里手写一遍。

1. 回到 SSL 页看到到期时间，把自动续签打开。

卡点基本是三种：域名没解析到本机、80 端口被防火墙拦了、同一域名短时间反复失败触发频率限制。第三种最容易被忽略，失败两次就先停手，等一阵再试。

路线三：云厂商免费证书的申请与下载

1. 在云厂商控制台搜「SSL 证书」，选免费 DV，填域名，验证方式选 DNS。

1. 按提示去域名解析里加一条 TXT 记录，回控制台点验证，通常几分钟内通过。

1. 下载证书包，一般含 .pem（证书链）和 .key（私钥）两个文件。

1. 传到服务器，在 Nginx 的 server 块里写 ssl_certificate 和 ssl_certificate_key 指向这两个文件，nginx -t 通过后 nginx -s reload。

SSL 证书怎么安装：装完自查这 3 处

1. 浏览器地址栏出现锁标，https:// 能正常打开页面。

1. 开发者工具 Console 里没有 Mixed Content 报错。有的话把页面里写死的 http:// 图片、脚本、字体改成 https:// 或相对路径。

1. 用 SSL Labs 跑一次测试，评级 A 以上；只拿到 B 多半是协议版本太旧或缺 HSTS。

避坑四条：私钥 .key 不要发给任何人，泄露了立刻吊销重签；证书域名必须和访问域名严格一致，带不带 www 是两回事；到期前 30 天开始续，别等过期当天，浏览器红警告会影响收录；CDN 开了 HTTPS 不等于源站有证书，两层都要配。

常见问题（FAQ）

免费证书和付费证书差在哪？

加密强度一样，差在验证等级、有效期、赔付条款和人工支持。个人博客、企业官网展示页用免费 DV 完全够；涉及收款、需要展示企业主体的走 OV/EV。

证书装完浏览器还提示不安全？

先查证书链是否完整，再查页面里有没有 http 资源，最后确认访问的域名和证书域名完全一致。三者排查完，九成问题能定位。

泛域名能免费用吗？

Let's Encrypt 支持泛域名，但必须走 DNS-01 验证，要在 DNS 服务商配 API 或手动加 TXT 记录，不能用文件验证偷懒。

换服务器后证书要重新申请吗？

不用重签。把 /etc/letsencrypt 目录或下载的证书文件一起迁过去，改好配置重载即可；换了新域名才需要重新申请。

最后更新：2026-10-19（工具界面、价格与政策可能调整，请以官方页面为准）。