SSL证书折腾小记

最近我个人网站的SSL证书到期了，准备重新申请的时候才发现免费SSL证书只有90天有效期了，一年申请4次实在是有些麻烦，还不如用收费的简单。经过比较，我选择了最便宜的Positive SSL，每年价格9刀左右。商家没有仔细选，就偷懒用了Namesilo，结果遇到网站BUG，费了好大的劲才解决。下面简单记录一下，供有需要的朋友参考。

我以前一直用的是免费SSL证书，啥都是自动的，基本不用自己操心，很多知识其实一直处于半瓶醋、不懂装懂的状态。这一次在Namesilo申请证书时，发现总是无法输入Email，卡在基本信息填写这一环节许久，尝试了很多遍无法解决，不得已之下联系了Namesilo的客服。我英语水平有限，只好借助翻译软件磕磕巴巴地跟客服进行交流，也不晓得客服能不能看懂机翻的内容，好在经过一番沟通得知这原来是Namesilo的BUG，只能手动申请证书。在客服的指引下，我手动生成了CSR和私钥KEY，又设置了DNS验证，从付款到配置成功，足足浪费了2天的时间。不得不说，老外客服专业性没的说，就是效率太低了，只能用邮件联系，米国跟咱们还有时差，一下班就找不到人。

下面总结一下有关SSL证书的基本知识以及购买、申请及配置的过程，大部分内容属于现学现卖，我尽量避免专业词语，争取做到通俗易懂。

1.SSL证书是啥

用不专业的语言来描述一下，SSL证书可以理解为一堆加了密的字符串，放在你的网站服务器上，能实现数据加密传输，防止被黑客窃取或篡改。

2.SSL证书有什么用

目前大多数浏览器对于“http”打头的网址，都会提示“不安全”，吓得很多人不敢打开。配置SSL证书后，你的网址就是以“https”开头的了，浏览器正常打开，同时在网址旁显示一把小锁标志，意思就是“这网站认证过了，启用了更安全的加密传输”。我觉得对于个人网站来说，最大的作用莫过于此了。

3.SSL证书如何购买

颁发SSL证书的机构很多，知名的有DigiCert、Sectigo、GlobalSign等（Positive SSL就是Sectigo的），同时很多域名商、空间商也兼营着这些颁发机构的分销商。打个不是很恰当的比方，就像办信用卡，不管你在哪个银行办，其实都属于银联、VISA、MasterCard等少数几个发卡组织。所以随便选一个看着靠谱的就行，证书类型合适、价格满意，直接付款就行了。不过经历了此次BUG事件，不建议大家在Namesilo购买了。

4.SSL证书如何申请

购买付款之后，SSL证书并不会自动生成，还需要你手动申请。大致有以下几步：

①输入要申请SSL证书的域名。

②填写基本信息，如组织名、国家、城市、地址、邮箱之类，填完后生成CSR（就是包含基本信息的一段加密字符串）。某些网站也支持第三方工具生成的CSR，当有多个域名需要申请SSL证书的时候，或者SSL证书到期需要再次申请的时候，使用提前做好的CSR就不用重复填写基本信息了，更加节约时间。当用第三方工具生成CSR的时候，一般会同时生成私钥KEY文件，要注意保存好，当你的SSL证书颁发完成，要在网站服务器上配置的时候还会用到。CSR和私钥KEY都是一些加密字符串，格式跟SSL证书看起来很像，大家保存的时候一定不要弄混了。

③接下来颁发机构要验证一下域名是不是你的。有两种验证方式，一是域名解析验证，二是服务器文件验证。域名解析验证就是在你的DNS服务器上添加指定的CNAME记录，让证书颁发机构确认你对这个域名的所有权。服务器文件验证就是将指定的文件上传到你的服务器根目录，颁发机构能够正常访问这个文件，也可以证明这个域名是你的。验证通过后等待域名签发就行了，这个过程一般不会很长，一般10分钟就可以了。

5.SSL证书如何配置

颁发给你的SSL证书包含多种格式，以便兼容各种服务器。现在你需要根据网站服务器的类型，把符合要求的证书下载下来，放到你的网站服务器上。打开网站服务器管理面板，按照指引操作就行。不同的服务器操作方式不同，但都会有详细的指引。注意私钥KEY文件，如果是通过填写基本信息的方式申请的SSL，那么私钥一般会包含在你下载的文件中。如果你使用的是第三方CSR申请的SSL，私钥一般要用你在生成CSR时同时生成的那个。