SSL证书是什么？

SSL证书是什么？

SSL证书是一种由受信任的证书颁发机构（CA）签发的数字凭证，用于在网站与用户浏览器之间建立HTTPS加密连接。它通过TLS协议实现数据传输加密、服务器身份验证和通信完整性保护。部署SSL证书后，网站地址栏显示锁形图标与“https://”，表明连接已受保护。未配置SSL证书的网站将被现代浏览器标记为“不安全”，直接影响用户信任与搜索引擎排名。

SSL证书不是可选插件，而是当前Web基础设施的强制性安全基线。所有涉及用户输入、登录、支付或任何个人信息交互的网站，都必须启用HTTPS加密。

SSL证书的核心技术机制

证书链与浏览器信任体系

SSL证书本身不独立生效，必须嵌入完整的证书链：从站点证书 → 中间证书 → 根证书。浏览器仅预置了少数受信根证书（如DigiCert、Sectigo、锐安信等CA的根），若中间证书缺失或顺序错误，会导致“NET::ERR_CERT_AUTHORITY_INVALID”等验证失败。TopSSL提供SSL证书链下载工具，可一键补全缺失环节。

TLS握手与加密流程

当用户访问HTTPS网站时，TLS 1.2/1.3握手启动：浏览器验证证书有效期、域名匹配性、吊销状态（OCSP或CRL），并协商对称密钥。整个过程在毫秒级完成，用户无感。但若证书使用SHA-1签名、RSA 1024位密钥或未启用SNI，老旧设备（如Windows XP IE8）可能无法完成握手——这是真实运维中仍需考虑的兼容性边界。

CA验证等级决定信任深度

不同验证级别的SSL证书对应不同信任强度：DV证书仅校验域名控制权，适合博客或测试站；OV证书需提交企业营业执照并通过CA人工审核，浏览器地址栏显示组织名称；EV证书已逐步被Chrome等主流浏览器弱化显示，但仍在金融类系统中作为合规硬性要求。国内监管场景下，部分政务平台明确要求OV SSL证书或国密SSL证书。

工程实践与部署关键点

我们曾处理某电商客户因Nginx未配置完整证书链，导致iOS Safari约12%用户访问白屏——问题根源是中间证书未随站点证书一并部署。这类故障在灰度发布阶段极难复现，必须通过真实终端覆盖率检测工具提前识别。

常见问题

Q：申请免费SSL证书会影响网站性能吗？
A：不会。现代TLS 1.3握手仅需1-RTT，且CPU开销在千兆网卡下不足1%。Let’s Encrypt与TopSSL提供的免费ssl申请服务已广泛用于高流量站点，关键在于正确配置OCSP Stapling与会话复用。

Q：为什么安装了SSL证书，浏览器仍提示“您的连接不是私密连接”？
A：常见原因包括：证书绑定域名与访问域名不一致（如www与非www）、系统时间错误、证书链不完整、或使用了自签名/内网CA证书。可通过SSL证书验证方法在线诊断。

Q：通配符SSL证书能保护二级子域名吗？
A：可以，例如*.example.com可覆盖api.example.com、shop.example.com，但不能覆盖test.api.example.com。如需多级泛域名，应选择多域名证书或组合部署方案。