阿里云免费SSL证书怎么申请？
阿里云本身不直接签发免费SSL证书，其「免费型DV SSL」实为与第三方CA（如锐安信sslTrus、Sectigo）合作提供的限时体验服务，需通过阿里云控制台申请并由CA审核签发。该证书仅支持单域名、有效期90天，且不适用于通配符或企业验证场景。
实际部署中，多数用户选择在TopSSL等平台申请免费SSL证书后手动上传至阿里云虚拟主机或CDN，这种方式更灵活、兼容性更强，且支持自动续期脚本集成。
技术背景：为什么阿里云没有原生免费CA？
根据CA/Browser Forum Baseline Requirements第11.1条，公开信任的CA必须通过WebTrust审计并承担严格合规责任。阿里云作为云服务商，聚焦IaaS/PaaS层，未独立运营符合国际标准的CA根体系，因此其“免费证书”本质是渠道分发，非自主签发。
真实运维经验：2025年Q3起，阿里云已逐步下线自有品牌BaiduTrust证书服务，现有免费SSL入口实际跳转至锐安信sslTrus的自动化验证流程。若域名已完成ICP备案且DNS解析稳定，通常5分钟内完成邮箱验证并签发。
TLS协议工作机制
阿里云免费SSL证书基于TLS 1.2+协议实现加密，采用RSA 2048位密钥交换与SHA-256签名算法。在握手阶段，客户端校验证书链完整性、域名匹配性及OCSP响应状态——这正是为何部分用户上传证书后仍显示“不安全”：缺失中间证书或未启用OCSP Stapling。
工程限制：阿里云虚拟主机不开放SSL/TLS协议版本配置权限，默认启用TLS 1.2，但禁用TLS 1.3。若需TLS 1.3支持，必须迁移至ECS+SLB架构，并手动编译OpenSSL 1.1.1+版本。
SSL证书部署步骤
在阿里云平台申请免费SSL证书的完整路径为：登录阿里云控制台 → 产品 → 安全 → SSL证书 → 免费证书 → 填写域名 → 邮箱验证 → 下载证书 → 上传至对应服务（如CDN、WAF或负载均衡）。
但需注意：阿里云免费证书不提供PEM格式私钥导出权限，仅支持Apache/Nginx格式一键部署；若需用于Java环境（如Tomcat），必须借助证书格式转换工具生成JKS文件。
| - | 参考标准 | TopSSL专家建议 |
|---|---|---|
| 验证方式 | CA/B Forum要求DV证书仅支持DNS或HTTP文件验证 | 推荐DNS验证：避免因网站未备案导致HTTP验证失败；阿里云DNS解析记录查询工具可实时核对TXT记录生效状态 |
| 证书链完整性 | RFC 5280规定终端实体证书必须包含完整信任链 | 阿里云控制台上传时需同时提交.crt + .key + .ca-bundle三文件；缺失中间证书将触发Chrome的NET::ERR_CERT_AUTHORITY_INVALID错误 |
| 有效期管理 | 自2026年6月起，所有新签发公开信任证书最长90天（CA/B BR 187号修订） | 使用acme.sh脚本对接阿里云DNS API，实现全自动续期；TopSSL提供Let's Encrypt免费SSL证书托管服务，支持到期前7天邮件预警 |
常见问题
Q：阿里云免费SSL证书能用于微信小程序吗？
A：不能。微信小程序强制要求HTTPS且校验证书链，而阿里云免费证书缺少国密SM2支持及完整中间链，易触发“invalid certificate chain”错误；建议选用沃通超快DV SSL证书或锐安信SM2双证书。
Q：申请后收不到验证邮件怎么办？
A：检查域名WHOIS邮箱是否开启接收权限；若使用阿里云企业邮箱，需在域名DNS中添加MX记录并等待2小时缓存刷新；也可切换为DNS验证方式，通过DNS解析记录查询确认TXT生效。
Q：一张免费证书可以保护多个子域名吗？
A：不可以。阿里云免费SSL仅支持单域名（如example.com），不支持www.example.com自动包含；若需多级子域名保护，应选择通配符SSL证书或多域名证书。
京公网安备11010502031690号
网站经营企业工商营业执照
