没有HTTPS的网站，正在被时代淘汰
当互联网安全标准如浪潮般席卷而来，HTTPS加密早已不是大型网站的专属特权，而是每一个网站、每一个小程序后端、每一个API接口的生存底线。浏览器地址栏那把醒目的"不安全"红锁，不仅吞噬访客的信任，更将你的搜索排名、小程序对接、第三方API调用一并扼杀于摇篮之中。
然而，看似简单的"换个协议"，在ECS服务器上落地时却暗礁密布——证书签发失败、443端口形同虚设、重定向死循环、混合内容报错……每一个隐形坑点都足以让运维新手焦头烂额。
本文将依托阿里云 数字证书管理服务（原SSL证书） 平台这一权威的一站式证书全生命周期管理平台，从零到一、从申请到部署，为你拆解ECS全站HTTPS改造的完整实操链路。无论你是初涉运维的技术小白，还是久经沙场的老司机，这份手册都将成为你手中最锋利的武器。
一、改造前置：四项硬核条件缺一不可
在踏上HTTPS征途之前，请务必确认以下基础设施已然就位，否则后续操作必将反复返工、徒劳无功：
| 前置条件 | 具体要求 |
|---|---|
| 域名就绪 | 已完成ICP备案（中国大陆节点），域名解析记录已指向ECS公网IP |
| ECS运行正常 | CentOS/Ubuntu等主流Linux发行版，80端口HTTP可正常访问网站 |
| SSH权限在手 | 拥有服务器登录权限，可执行命令行操作 |
| 443端口放行 | ECS安全组与系统防火墙均需开放TCP 443端口（下文详述） |
特别提醒：若网站前端接入了负载均衡或CDN，证书部署逻辑将截然不同——需在阿里云 数字证书管理服务（原SSL证书） 平台上将证书配置在负载均衡或CDN层面，后端ECS仅处理HTTP流量。本文聚焦ECS直接对外提供Web访问的经典场景。
二、SSL证书选型：在阿里云 数字证书管理服务（原SSL证书） 平台找到你的那把"钥匙"
2.1 证书类型全景扫描
登录阿里云 数字证书管理服务（原SSL证书） 平台控制台，你将面对琳琅满目的证书产品矩阵。根据安全等级与应用场景，证书大致分为两大阵营：
🟢 免费测试证书（DV单域名）
- 由DigiCert等权威CA签发，每个实名主体自然年可免费领取20张
- 有效期90天，仅限测试环境、个人博客、非生产业务
- 在阿里云 数字证书管理服务（原SSL证书） 平台中选择"个人测试证书（免费版）"即可一键创建
🟡 付费正式证书
- DV域名验证证书：快速签发（1-15分钟），适合中小企业官网
- OV组织验证证书：需人工审核企业资质（约5个工作日），证书中展示企业信息，公信力更高
- EV扩展验证证书：最高信任等级，浏览器地址栏展示绿色企业标识，金融、电商首选
- 通配符证书（*.example.com）：一张证书覆盖主域名下所有子域名，多站点统一加密利器
2.2 选型策略一览
| 业务场景 | 推荐证书 | 部署平台 |
|---|---|---|
| 个人博客/静态官网 | DV单域名免费证书 | 阿里云 数字证书管理服务（原SSL证书） 平台一键申请 |
| 多子域名业务 | DV通配符付费证书 | 阿里云 数字证书管理服务（原SSL证书） 平台+自动托管 |
| 企业对外官网 | OV证书 | 阿里云 数字证书管理服务（原SSL证书） 平台提交企业资质 |
| 金融/政务高合规 | EV证书或国密SM2证书 | 阿里云 数字证书管理服务（原SSL证书） 平台选购 |
2.3 两种灵活购买模式
阿里云 数字证书管理服务（原SSL证书） 平台创新性地提供两种采购模式：
- 输入域名购买：适合已明确需保护域名的用户，支持混合域名自动合并、主域名自动赠送、增值服务一键加购
- 证书数量购买：适合暂未确定具体域名或需批量采购的场景，一次最多购买100张，可灵活配置每张证书的品牌与类型
三、证书申请与域名验证：在阿里云 数字证书管理服务（原SSL证书） 平台上的分秒必争
3.1 申请流程精要
- 登录阿里云 数字证书管理服务（原SSL证书） 平台控制台
- 选择对应证书页签（免费证书/正式证书）
- 填写绑定域名、联系邮箱、企业信息（OV/EV需补充）
- CSR生成方式选择"系统自动生成"，平台托管私钥——这一选项可避免手动生成CSR导致私钥丢失的致命错误
- 选择域名验证方式，提交审核
3.2 域名验证三板斧
阿里云 数字证书管理服务（原SSL证书） 平台提供三种验证路径：
| 验证方式 | 操作方式 | 适用场景 |
|---|---|---|
| 自动DNS验证 | 平台自动添加TXT记录，全程零手动 | 域名解析托管在阿里云的用户，成功率最高 |
| 手动DNS验证 | 自行在域名管理后台添加指定TXT记录 | 域名在第三方平台管理 |
| 文件验证 | 将验证文件上传至网站根目录特定路径 | 无法修改DNS解析的特殊场景 |
提交后，DV证书通常数分钟内即可完成签发；OV/EV证书则需1-5个工作日人工审核。回到阿里云 数字证书管理服务（原SSL证书） 平台查看证书状态变为"已签发"，即大功告成。
避坑指南：DNS全球生效存在缓存延迟，通常数分钟到半小时不等，切勿急于重复提交！TXT记录务必完整复制，一个字符的偏差都将导致验证失败。
四、证书下载与服务器上传：让密钥安全着陆
4.1 下载证书文件
在阿里云 数字证书管理服务（原SSL证书） 平台证书列表中找到已签发证书，点击"下载"，根据Web服务类型选择对应版本（Nginx/Apache/Tomcat格式各异，选错将直接导致部署报错）。解压后你将获得两个核心文件：
- .pem/.crt文件：证书公钥与完整证书链
- .key文件：私钥——这是整个HTTPS体系的命脉，泄露即等于门户洞开
4.2 上传至ECS服务器
通过SSH登录ECS实例，执行以下命令创建专用证书目录并上传文件：
# 创建证书存放目录（切勿放在网站业务目录下，防误删）
mkdir -p /etc/nginx/cert
# 上传证书文件（使用SCP/WinSCP等工具）
scp /本地路径/fullchain.pem root@ECS公网IP:/etc/nginx/cert/
scp /本地路径/privkey.key root@ECS公网IP:/etc/nginx/cert/
# 收紧私钥权限，仅管理员可读
chmod 600 /etc/nginx/cert/*.key
chown root:root /etc/nginx/cert/*.key
# 确认文件完整
ls -la /etc/nginx/cert/
五、安全组与防火墙：打通443端口这条"生命线"
这是新手最高频踩坑的环节——即使Web服务配置完美，443端口未放行，一切皆空。
5.1 安全组配置
进入ECS实例安全组，添加入方向规则：
- 协议：TCP
- 端口：443
- 授权对象：0.0.0.0/0（公网全量访问）
5.2 系统防火墙放行
CentOS（firewalld）：
firewall-cmd --add-port=443/tcp --permanent
firewall-cmd --reload
Ubuntu（ufw）：
ufw allow 443/tcp
ufw reload
5.3 验证端口连通性
ss -tlnp | grep 443
六、Nginx HTTPS核心配置：让加密正式生效
编辑Nginx站点配置文件（一般路径 /etc/nginx/conf.d/），写入完整HTTPS服务块：
server {
listen 443 ssl http2;
server_name example.com www.example.com;
ssl_certificate /etc/nginx/cert/fullchain.pem;
ssl_certificate_key /etc/nginx/cert/privkey.key;
# 仅启用高安全协议，禁用TLS 1.0/1.1
ssl_protocols TLSv1.2 TLSv1.3;
ssl_ciphers ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:HIGH:!aNULL:!MD5;
ssl_prefer_server_ciphers on;
ssl_session_cache shared:SSL:10m;
ssl_session_timeout 10m;
# HSTS强制加密策略（让浏览器永久记住HTTPS）
add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;
location / {
root /usr/share/nginx/html;
index index.html index.htm index.php;
}
}
配置完成后，执行语法检测与平滑重载：
nginx -t # 检测配置语法
nginx -s reload # 平滑重载，无需中断业务
七、HTTP强制跳转HTTPS：让所有流量走上安全通道
在同一个配置文件中，添加80端口的HTTP跳转块：
server {
listen 80;
server_name example.com www.example.com;
return 301 https://$host$request_uri;
}
八、混合内容修复：堵住最后一扇"漏洞之门"
HTTPS部署完成后，若浏览器控制台报出"Mixed Content"警告，说明页面内部仍有HTTP明文资源链接（图片、JS、CSS、API等）。必须逐一将全站资源链接批量替换为HTTPS协议，方能彻底根除混合内容报错。
九、阿里云 数字证书管理服务（原SSL证书） 平台的自动化托管：让证书永不过期
正式证书采用订阅模式（最长3年），在阿里云 数字证书管理服务（原SSL证书） 平台开启"证书自动托管"后，系统将在证书即将到期时自动发起新证书申请、完成域名验证签发、并自动部署到已关联的CDN/SLB/WAF等云产品——但需注意：自建ECS上的Nginx服务器不支持自动替换证书，仍需手动下载更新。
CLI批量管理命令（DevOps利器）
# 查询全部证书实例
aliyuncas ListInstances
# 查询单张证书详情
aliyuncas GetInstanceDetail --InstanceId cas-xxxxxx
# 提交证书申请
aliyuncas ApplyCertificate --InstanceId cas-xxxxxx --DcvType DNS
# 查询部署任务
aliyuncas ListDeploymentJob --JobType user --Status pending
# 吊销泄露证书
aliyuncas RevokeCertificate --CertificateId cert-xxxxxx
十、故障排查速查表
| 故障现象 | 可能原因 | 解决方案 |
|---|---|---|
| 浏览器提示"不安全" | 证书域名与访问域名不匹配/证书过期/证书链不完整 | 核对绑定域名、检查有效期、重新下载完整证书包 |
| 443端口无法访问 | 安全组未放行/防火墙拦截/Nginx未监听 | 逐级检查端口规则、防火墙策略、配置文件 |
| 配置报错 | 证书路径错误/私钥权限过大/语法错误 | 核对绝对路径、收紧权限至600、nginx -t检测 |
| 混合内容警告 | 页面内HTTP明文资源 | 全站资源链接批量替换为HTTPS |
十一、证书续期：建立台账，防患于未然
SSL证书均有固定有效期。根据最新行业政策，自2026年3月15日起TLS证书最长有效期已调整为200天，自2027年3月15日起缩至100天，自2029年3月15日起仅为47天（SM2国密证书不受此限）。日常运维中务必建立证书台账，提前7-15天完成续期。
在阿里云 数字证书管理服务（原SSL证书） 平台上，续期流程与首次部署基本一致：重新申领→替换证书文件→重载Nginx配置，全程无缝切换。
结语
从阿里云 数字证书管理服务（原SSL证书） 平台上一键申请证书，到ECS服务器上精雕细琢每一行配置，HTTPS改造绝非简单的"换协议"，而是一场关于安全、合规、信任的系统工程。当浏览器地址栏那把绿色安全锁亮起的那一刻，你的网站便真正拥有了在互联网丛林中立足的底气。
现在，打开阿里云 数字证书管理服务（原SSL证书） 平台，开启你的HTTPS之旅吧。
