证书过期那天才发现打不开，是最不该发生的事。我们做的不只是签发一张证书，而是从选型、签发、部署到自动续期和到期提醒的整条链路，让它长期保持可用。
免费证书可以帮你搞定；但需要浏览器地址栏显示公司名、需要对接企业采购流程、或需要覆盖大量子域名时，才需要付费证书。下面把怎么选、怎么装、怎么不出问题讲清楚。
证书类型怎么选
| 类型 | 验证方式 | 浏览器显示 | 适用 | 参考价 |
|---|---|---|---|---|
| DV（域名验证） | DNS 或文件验证 | 安全锁标志 | 绝大多数网站。包括 WordPress、商城、企业站 | 免费 – 300 元/年 |
| OV（组织验证） | 验证域名 + 企业真实信息 | 显示公司名称 | 企业官网、有合规要求的采购流程 | 1200 – 2500 元/年 |
| EV（扩展验证） | 最严格的身份核验 | 显示公司名称（高亮） | 金融、支付类对用户信任要求极高的场景 | 2500 – 5000 元/年 |
品牌与价格
| 品牌 | 特点 | 适合 |
|---|---|---|
| Let’s Encrypt | 免费、90 天有效期、自动化程度高、支持通配符 | 默认选择。绝大多数商业网站用它就够 |
| Cloudflare Origin CA | 免费，仅 Cloudflare 到源站这一段加密 | 已经接入 Cloudflare 的站点（访客到边缘仍是免费 DV） |
| ZeroSSL | 免费额度较宽松，支持 ECC 与 RSA 双证书 | 需要 ECC 证书、或想避开 Let’s Encrypt 频率限制时 |
| DigiCert / GlobalSign / Entrust | 商业品牌，含 OV / EV，售后的信任度与合同条款更规范 | 企业采购、财务需要正规发票、对合同条款有要求的场景 |
付费证书的报价会写明：品牌、类型、年限、数量（含 SAN 与通配符规则）、是否含企业保险、以及续费价格。续费价和首年价不一致是行业常态，报价时会单独列出第二年价格，不会只在第一年便宜。
部署做了什么
「配好了」不是把证书文件放上去就算完。我们做的完整动作：
证书链补全
很多站点只上传了服务器证书，缺中间证书，浏览器在部分设备上会报「证书无效」。我们会用 SSL 检测工具验证完整链。
强制 HTTPS
301 跳转、HTTP/2 启用、HSTS 策略按站点情况配置。跳转会保留路径与参数，不会把链接丢掉。
混合内容清理
页面里只要还有一张 http:// 的图片或脚本，锁标志就不会出现，还会降低安全评分。我们会逐个找出来改成 https 或协议相对。
OCSP Stapling
减少客户端每次都要向 CA 查询证书状态的开销，同时提升握手速度。可用性取决于服务器是否支持。
多域名与通配符
SAN 证书（一张证书覆盖多个域名）与通配符证书（*.example.com）的申请与部署，避免每个子域名单独一张。
反向代理解析
前置 CDN、负载均衡或多个后端时，证书放在最外层，传递链配置正确。
自动续期与提醒
| 场景 | 方案 |
|---|---|
| 虚拟主机 / cPanel / Plesk 面板 | 面板自带 AutoSSL，开启后自动签发续期。我们会配置自动续期并验证一次实际续期是否成功 |
| 宝塔面板 | 面板 SSL 页的申请与续期均可自动化，同步配置续期定时任务 |
| 自己的服务器（Certbot） | certbot timer / cron 定时续期 + nginx deploy hook；配好 webhook 或脚本续期后自动重载 |
| 付费证书（手动续期为主） | 我们设置多级提醒：30 天、14 天、7 天、3 天，提前通知你并协助完成续期 |
常见问题排查
| 现象 | 常见原因 | 处理 |
|---|---|---|
| 浏览器显示「不安全」但地址是 https | 页面存在 http:// 的混合内容 | 定位并改写资源地址，复测评分 |
| 证书无效 / ERR_CERT_COMMON_NAME_INVALID | 证书与域名不匹配，或中间证书缺失 | 重签发并补全证书链 |
| 部分设备打不开，部分正常 | 证书链不完整（老设备对中间证书更敏感） | 补全链配置 |
| 站点变慢 | HSTS 生效后回退 HTTP 被阻断，或 TLS 参数过严 | 调整 TLS 版本与套件，调整 HSTS max-age |
| API / App 请求报错 | 客户端不信任自签或私有 CA | 改用公有 CA 证书，或把 CA 证书导入客户端信任库 |
| CDN 侧报错 | 回源协议或加密模式配置不一致 | 统一 CDN 与源站的加密配置 |
办理流程
- 摸清现状
现有证书类型与有效期、覆盖域名清单、部署位置（源站 / CDN / 负载均衡）、是否有混合内容、历史是否出现过到期事故。
- 方案与报价
给出选型建议与明确报价（含续费价）。免费方案与付费方案的差异会直接说清，不推荐不必要的付费。
- 签发与部署
DV 走 DNS 或文件验证（我们有权限的话代办）；OV/EV 需你提供企业资料，我们协助提交。签发后完成链补全、强制 HTTPS、混合内容清理。
- 验证与交付
用外部检测工具从多个节点验证，确认浏览器锁标志出现、移动端与桌面端一致、无混合内容告警。
- 续期机制
配置自动续期并做一次模拟验证；付费证书设置多级到期提醒。
常见问答
免费的 Let’s Encrypt 够用吗？
绝大多数情况够用。它由 ISRG 维护，被主流浏览器全面信任，签发免费且支持自动化。需要注意的只有一点：有效期 90 天，所以自动续期必须配置好，否则过期会直接导致全站不可访问。这也是我们把它作为默认方案、并且每次都做模拟续期验证的原因。
证书会影响 SEO 吗？
HTTPS 是排名相关信号之一，而且浏览器会明确标记 http 站点为「不安全」。已有 HTTP 站点改成 HTTPS 后，务必做好 301 跳转与 sitemap 协议更新，否则会形成重复内容。迁移方案细节见 服务器迁移。
可以只买证书让我自己装吗？
可以，但多数客户装完才发现证书链不全或没配自动续期，一个月后同样会遇到过期。证书本身的价格差距远小于处理故障的成本，建议至少让我们做一次部署与验证。
续费价格会涨吗？
商业证书首年常有促销价，续费按目录价，这是行业常态。报价单会同时列出首年与续费价格，你可以自行判断是否值得续。有些情况第二年换一家或转 DV 更划算，我们也会直接说。
支持通配符和多域名吗？
支持。Let’s Encrypt 免费证书就支持通配符（需要 DNS-01 验证），多域名用 SAN 证书。需要你有 DNS 平台的验证权限，我们通过 DNS API 自动完成签发和续期。
