IIS如何安装SSL证书？Windows Server配置HTTPS完整教程

更新时间：2026-03-21 来源：TopSSL技术团队

IIS如何安装SSL证书？

在 IIS（Internet Information Services）服务器中部署 HTTPS，核心在于将申请到的 PFX 格式 SSL 证书与私钥正确导入 Windows 服务器证书库，并将其绑定至目标网站的 443 端口。从实际运维来看，不管是 Windows Server 2016、2019 还是 2022，IIS 的底层证书绑定与存储逻辑完全一致。本文提供标准的 PFX 导入、端口绑定、SNI 开启以及证书链与跳转的完整工程指南。

二、IIS安装SSL证书前需要准备什么？

在开始配置之前，需要准备以下内容：

1. SSL证书文件

IIS 通常使用 .pfx 格式证书。PFX 文件一般包含：

网站 SSL 证书；
私钥文件；
中间 CA 证书链。

如果从 CA 下载证书时只获得 .crt 或 .cer 文件，需要先转换为 IIS 支持的 .pfx 格式。

2. 证书密码

导入 PFX 文件时，需要输入申请证书或导出证书时设置的解密密码。如果密码丢失，系统无法读取私钥，也就无法直接导入该 PFX 文件，需要重新导出或重新申请证书。

3. 确认网站域名匹配

SSL 证书必须匹配访问域名。例如证书绑定 www.example.com，访问https://www.example.com可以正常使用；但如果直接访问https://example.com而证书没有包含主域名，则可能出现NET::ERR_CERT_COMMON_NAME_INVALID 错误。

对具体的证书分类不太清楚的运维人员，可以先翻阅SSL证书类型怎么分?来选择适合业务的类型，如果还不了解 SSL 证书的基本定义，可以先参考什么是SSL证书？。

三、IIS安装SSL证书详细步骤

以目前常见的 Windows Server 2016 / 2019 / 2022 中的 IIS 10 为例，具体操作分为证书导入和站点绑定两个阶段：

第一步：打开 IIS 服务器证书管理

左侧选择最顶层的服务器名称（根节点），然后在中间功能区双击打开 服务器证书。这里用于管理 Windows 服务器上的 SSL 证书。

第二步：导入 SSL 证书文件

点击右侧操作栏中的 导入...，选择准备好的 .pfx 文件，填写 PFX 密码，证书存储位置选择个人（Personal），点击确定。

导入成功后，可以在服务器证书列表中看到对应证书。请确认证书图标或属性中包含私钥标识，如果证书旁边没有私钥，说明该证书无法用于 IIS HTTPS 绑定。

如果你在其他服务器（如 Nginx 或 Apache）上也需要同步部署该证书，可以参阅怎么安装SSL证书？中的操作细节。

四、在 IIS 网站绑定 SSL 证书

证书导入成功后，需要绑定到具体网站。

操作步骤：

进入左侧网站目录，选择目标站点，点击右侧的 编辑绑定...（或右键选择绑定）。
点击 添加... 按钮，设置对应参数：

配置项	推荐设置值	说明
类型	`https`	启用加密连接
IP 地址	`全部未分配`	或指定具体静态 IP
端口	`443`	标准 HTTPS 端口
需要服务器名称指示 (SNI)	勾选	多域名/单 IP 托管多个站点时必须勾选
SSL 证书	选择刚导入的证书名称	下拉框中直接选中

保存配置后，此时 IIS 已经启用 HTTPS。在浏览器中输入 https://你的域名 检查是否能够正常打开。

五、IIS安装SSL证书后如何验证？

安装完成后，建议检查以下几个方面：

1. 检查 HTTPS 访问

浏览器访问 [https://example.com](https://example.com)，确认地址栏是否出现安全锁、是否提示证书有效、域名是否匹配。

2. 检查证书链是否完整

完整的信任链包括：服务器证书 → 中间 CA 证书 → 根 CA 证书。如果 IIS 返回的证书链不完整，部分客户端可能出现证书不受信任或 NET::ERR_CERT_AUTHORITY_INVALID。排查具体报错原因，可以阅读如何修复SSL证书错误？。

3. 检查 HTTP 是否跳转 HTTPS

很多企业网站安装 SSL 证书后，还需要配置 http://example.com 自动跳转到 https://example.com，否则用户仍可能访问未加密页面。具体的整站重定向指导，可以参考网站如何从HTTP更改为HTTPS?。

六、IIS安装SSL证书常见问题

1. IIS 绑定 SSL 证书后仍显示“不安全”

域名不匹配：证书保护 www.example.com，但访问了未覆盖的子域名，需要重新申请包含对应域名的证书。
证书链缺失：如果服务器没有正确配置中间 CA 证书，移动端客户端无法建立完整信任链。解决方法是重新导入包含完整链的 PFX 文件，或者在系统中补充中间证书。
证书已过期：在服务器证书列表中查看证书有效期，确认是否已超过截止日期。

2. IIS 导入 PFX 证书失败怎么办？

密码错误： 重新确认导出时设置的密码，避免复制时带入空格。
缺少私钥： IIS 绑定必须要求 服务器证书 + 私钥，如果仅导入了 .cer 或 .crt 公钥文件，将无法在绑定下拉菜单中选中。
格式不兼容： 如果拿到的是 .pem 或 .key 文本文件，需先通过工具合成带私钥的 .pfx 格式后再导入。如果需要选购新的证书，可以先参考SSL证书选购指南做前期准备。

3. 一个 IIS 服务器可以安装多个 SSL 证书吗？

可以。只要 Windows Server 版本为 2012 及以上（IIS 8.0+），在“编辑绑定”添加 443 端口时，勾选 需要服务器名称指示 (SNI) 选项，即可在单个 IP 地址上为不同域名绑定各自独立的 SSL 证书。如果只有免费证书需求，可以在免费SSL证书是什么？怎么申请？中获取相关资料。

七、IIS部署SSL证书需要注意什么？

保证私钥与完整链存在： 证书导入不能只看公钥，必须确保私钥注入了 Windows 个人证书存储区，且包含了中间 CA 链。
建立到期提醒机制： 目前公开信任的 SSL 证书最长有效期为 1 年以内，部署完成后需设置到期提醒，提前续签并更新。
老旧系统 TLS 协议兼容： 部分旧版 Windows Server 默认禁用了 TLS 1.2，可能导致新版浏览器或接口调用失败，建议在注册表中开启 TLS 1.2 支持。

技术型总结

IIS 部署 SSL 证书的技术要点在于借助 PFX 容器实现私钥与证书链的同步导入，并在站点绑定中利用 SNI 实现多域名单 IP 端口复用。运维操作时，需重点确保 Windows 证书存储区中中间 CA 证书的完整性，并结合系统级 301 重定向规则与 TLS 协议版本优化，才能构建出无缝且安全的全站 HTTPS 通信体系。