SSL 证书申请与配置详解：从零开始给网站加 HTTPS

📋 全文概况：给网站加 HTTPS 不仅能提升用户体验，还能增加安全性。本文详细介绍了 SSL 证书的申请与配置过程，包括在 Nginx 上的配置方法，帮助你从零开始轻松实现 HTTPS。无论你是建站新手还是有一定经验的开发者，都能在这里找到实用的技巧和注意事项。

给网站加 HTTPS 不仅能提升用户体验，还能增加安全性。本文详细介绍了 SSL 证书的申请与配置过程，包括在 Nginx 上的配置方法，帮助你从零开始轻松实现 HTTPS。无论你是建站新手还是有一定经验的开发者，都能在这里找到实用的技巧和注意事项。

为什么需要 SSL 证书？

SSL 证书的主要作用是加密网站的通信，确保用户数据在传输过程中不被窃取。去年我帮朋友建了一个网站，刚开始没有加 HTTPS，结果被搜索引擎降权了。后来加上了 SSL 证书，不仅提高了安全性，搜索引擎的排名也回来了。这让我深刻体会到 SSL 证书的重要性。

此外，HTTPS 还能提升用户的信任感。据统计，70% 的用户更倾向于访问支持 HTTPS 的网站，这在商业上也有很大的影响。如果你是建站新手，一定要重视这一点。

如何申请 SSL 证书？

申请 SSL 证书其实并不复杂，主要有几种方式：购买商业证书、使用免费的 Let's Encrypt 证书，或者自签名证书。商业证书适合大型网站，价格从几十元到几千元不等，但认证过程更严格。免费的 Let's Encrypt 证书适合大多数小型网站，申请过程简单，而且证书有效期为 90 天，可以自动续期。

自签名证书虽然免费，但不被浏览器信任，会显示安全警告，因此不推荐使用。我一般推荐用 Let's Encrypt，因为它既免费又可靠。

使用 Let's Encrypt 申请 SSL 证书

Let's Encrypt 是一个免费、开放且自动化的证书颁发机构。申请过程非常简单，只需几步即可完成。

安装 Certbot 工具。Certbot 是 Let's Encrypt 的官方客户端，支持多种服务器环境。在 Ubuntu 上，你可以使用以下命令安装：
sudo apt-get update
sudo apt-get install certbot python3-certbot-nginx
运行 Certbot 命令。这个命令会自动获取并安装 SSL 证书：
sudo certbot --nginx
按照提示完成域名验证。Certbot 会自动配置 Nginx，你只需确认域名信息即可。
设置自动续期。Let's Encrypt 证书有效期为 90 天，但可以通过设置定时任务自动续期。运行以下命令：
sudo certbot renew --dry-run

完成以上步骤，你就成功申请并安装了 SSL 证书。是不是很简单？

如何在 Nginx 上配置 HTTPS？

配置 HTTPS 的关键是修改 Nginx 的配置文件。去年我帮一个客户配置 HTTPS 时，发现他们的配置文件非常混乱，浪费了不少时间。为了避免这种情况，我总结了一些配置 HTTPS 的最佳实践。

修改 Nginx 配置文件

首先，找到你的 Nginx 配置文件。通常位于 /etc/nginx/sites-available/ 目录下。打开配置文件，找到服务器块（server block），添加以下配置：

server {
   listen 443 ssl;
   server_name yourdomain.com;
   ssl_certificate /etc/letsencrypt/live/yourdomain.com/fullchain.pem;
   ssl_certificate_key /etc/letsencrypt/live/yourdomain.com/privkey.pem;
   ssl_protocols TLSv1.2 TLSv1.3;
   ssl_ciphers 'ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256';
   ssl_prefer_server_ciphers on;
   ssl_session_cache shared:SSL:10m;
   ssl_session_timeout 10m;
   add_header Strict-Transport-Security 'max-age=31536000; includeSubDomains' always;
   location / {
     proxy_pass http://localhost:8080;
     proxy_set_header Host $host;
     proxy_set_header X-Real-IP $remote_addr;
     proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
     proxy_set_header X-Forwarded-Proto $scheme;
   }
}