SSL证书安装教程（Nginx/Apache）-TopSSL

SSL证书安装教程（Nginx/Apache）

是的，SSL证书必须正确安装到Web服务器才能启用HTTPS加密。仅购买或下载证书文件不等于完成部署——Nginx和Apache对证书格式、路径配置、链完整性及TLS协议支持均有严格要求。未按规范安装会导致浏览器显示“连接不安全”、混合内容警告，甚至完全拒绝建立TLS连接。

技术背景：为什么安装方式因服务器而异？

SSL证书本身是标准X.509格式，但不同Web服务器解析证书链、加载私钥、协商TLS版本的机制完全不同。Nginx要求将服务器证书与中间证书合并为单个.crt文件；而Apache需通过SSLCertificateChainFile单独指定.ca-bundle路径。这种差异源于其底层SSL/TLS模块（OpenSSL vs BoringSSL适配层）及配置抽象层级的设计哲学。

核心技术机制

Nginx证书安装关键点

Nginx不原生支持独立中间证书文件，必须将域名证书与CA中间证书拼接成一个server-bundle.crt。若遗漏中间证书，iOS Safari和部分Android WebView会因无法构建完整信任链而报错NET::ERR_CERT_AUTHORITY_INVALID。推荐使用cat domain.crt ca-bundle.crt > server-bundle.crt生成，且需确保私钥无密码保护——否则启动时会阻塞等待输入。

Apache证书安装关键点

Apache 2.4.8+ 支持SSLCertificateFile直接加载含完整链的PEM文件，但多数生产环境仍沿用传统三文件分离结构：.crt（叶证书）、.key（私钥）、.ca-bundle（中间证书）。注意SSLCertificateChainFile在2.4.8后已被弃用，新部署建议改用SSLCertificateFile合并链式证书。未更新配置易触发SSL_ERROR_BAD_CERT_DOMAIN错误。

TLS协议与加密套件工程约束

无论Nginx或Apache，必须显式禁用SSLv2/v3和弱加密算法（如RC4、MD5签名）。Nginx中ssl_protocols TLSv1.2 TLSv1.3;与Apache中SSLProtocol all -SSLv2 -SSLv3 -TLSv1 -TLSv1.1是当前PCI DSS合规底线。实测发现：CentOS 7默认OpenSSL 1.0.2k不支持TLS 1.3，升级至1.1.1+并重编译模块方可启用。

工程实践与部署经验

维度	参考标准	TopSSL专家建议
证书格式验证	RFC 5280 §4.1	用`openssl x509 -in cert.crt -text -noout`确认Subject与SAN匹配域名；用`openssl verify -CAfile ca-bundle.crt cert.crt`验证链可达性
私钥权限控制	Linux FHS /etc/httpd/conf/	Apache私钥必须`chmod 600 xxx.key`且属主为apache用户；Nginx私钥需`chown nginx:nginx`，否则worker进程无法读取
重定向配置	CA/B Forum BR §7.1.4.2	HTTP→HTTPS强制跳转必须用`return 301`（Nginx）或`Redirect permanent`（Apache），避免302导致HSTS预加载失败