阿里云SSL证书完全指南：从申请到Nginx/Tomcat/IIS全服务器部署实战-阿里云开发者社区

前言：为什么你的网站需要HTTPS

在当今互联网环境中，网站安全性已成为用户信任的基石。HTTP协议以明文方式传输数据，面临着信息泄露、内容篡改、中间人攻击等严重安全风险。主流浏览器会对未启用HTTPS的网站标记为“不安全”，直接影响用户访问意愿和搜索引擎排名。为Web服务器配置HTTPS证书，不仅能够加密数据传输、保障用户隐私安全，还能提升网站的专业形象和SEO权重。

SSL（Secure Sockets Layer）及其后继者TLS（Transport Layer Security）是一种加密协议，用于在客户端与服务器之间建立安全的通信通道。SSL证书由CA（证书颁发机构）签发，包含网站的公钥、域名信息、颁发机构及有效期等数据。当用户通过HTTPS访问网站时，浏览器会验证证书的合法性，并与服务器协商加密密钥，从而确保数据传输的机密性和完整性。

第一章：阿里云SSL证书类型与选型

阿里云数字证书管理服务（原SSL证书服务）提供多种类型的SSL证书，主要分为以下几类：

1.1 个人测试证书（免费版）

由DigiCert颁发，为DV（域名验证型）单域名证书。每个阿里云账号在一个自然年内可免费领取20张，有效期90天（3个月）。适合个人博客、开发测试环境等非生产场景。免费版SSL证书到期后不支持续费，需要重新申请。

1.2 个人测试证书（Pro）

付费版本，有效期12个月，提供更长的证书周期和更多的技术支撑。

1.3 正式证书

包括DV、OV（组织验证型）、EV（扩展验证型）等多种级别，支持单域名、多域名和通配符域名，有效期通常为1年。适用于企业官网、电商平台、金融系统等对安全要求较高的生产环境。

DV证书：仅验证域名所有权，签发速度快（1~15分钟），价格较低。
OV证书：需要验证企业真实性，证书中显示企业信息，签发时长约5个自然日。
EV证书：最高级别验证，提供最高信任度，签发时长约5个自然日。

对于大多数个人站长和中小企业，个人测试证书（免费版）已能满足基本的HTTPS加密需求。如需更长的有效期或更高的安全级别，可考虑购买付费证书。

需要先登录阿里云控制台，点击：阿里云控制台

第二章：申请SSL证书

2.1 准备工作

在申请SSL证书之前，需要完成以下准备工作：

已完成阿里云账号的实名认证
拥有一个已备案的域名（如服务器位于中国内地）
域名已添加DNS解析记录，指向服务器的公网IP地址
已在服务器安全组中放行443端口

2.2 申请个人测试证书（免费版）

步骤一：进入数字证书管理服务控制台

登录阿里云控制台，在顶部搜索框输入“SSL证书”或“数字证书管理服务”，进入证书管理页面。

步骤二：领取免费证书额度

在左侧导航栏选择“证书管理” > “SSL证书管理”，点击“个人测试证书（原免费证书）”页签，然后点击“立即购买”。在购买面板中保持默认选项，勾选服务协议后完成0元支付。

步骤三：创建证书并提交申请

在“个人测试证书”页签点击“创建证书”，填写以下信息：

域名名称：输入需要绑定证书的域名，例如example.com。系统会自动包含www.example.com的SAN扩展
域名验证方式：可选择“自动DNS验证”或“手动DNS验证”

步骤四：完成域名验证

如果选择自动DNS验证且域名在阿里云DNS管理下，系统会自动添加TXT记录并完成验证，只需等待证书签发即可。如果选择手动DNS验证，需要登录域名DNS管理控制台，添加一条TXT记录，记录值为CA机构提供的验证字符串。

验证通过后，CA机构会签发证书，状态变为“已签发”。

第三章：下载SSL证书

证书签发后，进入SSL证书管理页面，在目标证书操作列单击“更多”进入证书详情页面，然后在下载页签中根据服务器类型下载对应的证书。

不同服务器支持的SSL证书格式不同：

Nginx：下载Nginx类型的证书，包含.pem证书文件和.key私钥文件
Tomcat：下载Tomcat类型的证书，包含.pfx或.jks证书文件和.txt密码文件
IIS：下载IIS类型的证书，包含PFX格式证书文件和TXT密码文件

说明：若申请证书时使用OpenSSL、Keytool等工具生成CSR文件，私钥文件仅保存在您本地，下载的证书包中不包含私钥。如私钥遗失，证书将无法使用。

第四章：Nginx服务器部署SSL证书

Nginx是目前最流行的Web服务器之一，以下是在Linux系统上为Nginx部署SSL证书的完整步骤。

4.1 上传证书文件

将解压后的证书文件（.pem）和私钥文件（.key）上传至服务器，并存放在一个安全的外部目录，如 /etc/ssl/cert 目录。

4.2 配置Nginx

编辑Nginx配置文件（通常位于 /etc/nginx/conf.d/ 或 /etc/nginx/sites-available/ 目录下），添加以下配置：

server {
    listen 443 ssl http2;
    server_name www.example.com example.com;
    ssl_certificate /etc/ssl/cert/your_domain.pem;
    ssl_certificate_key /etc/ssl/cert/your_domain.key;
    ssl_protocols TLSv1.2 TLSv1.3;
    ssl_ciphers HIGH:!aNULL:!MD5;
    ssl_prefer_server_ciphers on;
    root /var/www/html;
    index index.html index.htm;
    location / {
        try_files $uri $uri/ =404;
    }
}

配置说明：

listen 443 ssl http2：监听443端口，启用SSL和HTTP/2协议
ssl_certificate：指定证书文件路径（.pem格式）
ssl_certificate_key：指定私钥文件路径（.key格式）
ssl_protocols：仅启用高安全性的TLSv1.2和TLSv1.3协议，关闭老旧不安全的TLSv1.0和TLSv1.1

4.3 配置HTTP自动跳转HTTPS

为了强制所有HTTP流量跳转到HTTPS，添加以下配置：

server {
    listen 80;
    server_name www.example.com example.com;
    return 301 https://$server_name$request_uri;
}

4.4 验证配置并重启Nginx

# 检查配置文件语法
nginx -t
# 重启Nginx服务
systemctl restart nginx
# 或
service nginx restart

第五章：Tomcat服务器部署SSL证书

Tomcat支持JKS（Java KeyStore）和PFX（PKCS12）两种格式的SSL证书。

5.1 选择证书格式

JKS：Java专用的密钥库格式，适合主要在Java环境下使用
PFX：通用格式，被Java及其他平台广泛支持，适合跨技术栈场景

5.2 上传证书文件

将解压后的证书文件（.pfx或.jks）和密码文件（.txt）上传至服务器，存放在安全目录如 /etc/ssl/cert。

5.3 配置Tomcat

编辑Tomcat的 server.xml 配置文件（通常位于 $CATALINA_HOME/conf/server.xml），在标签内添加或修改 Connector：

PFX格式配置：

<Connector port="443" protocol="org.apache.coyote.http11.Http11NioProtocol"
           maxThreads="150" SSLEnabled="true"
           scheme="https" secure="true"
           clientAuth="false" sslProtocol="TLS"
           keystoreFile="/etc/ssl/cert/your_domain.pfx"
           keystoreType="PKCS12"
           keystorePass="你的证书密码" />

JKS格式配置：

<Connector port="443" protocol="org.apache.coyote.http11.Http11NioProtocol"
           maxThreads="150" SSLEnabled="true"
           scheme="https" secure="true"
           clientAuth="false" sslProtocol="TLS"
           keystoreFile="/etc/ssl/cert/your_domain.jks"
           keystoreType="JKS"
           keystorePass="你的证书密码" />

5.4 配置HTTP跳转HTTPS

在 web.xml 中添加以下安全约束配置，将HTTP请求重定向到HTTPS：

<security-constraint>
    <web-resource-collection>
        <web-resource-name>Protected Area</web-resource-name>
        <url-pattern>/*</url-pattern>
    </web-resource-collection>
    <user-data-constraint>
        <transport-guarantee>CONFIDENTIAL</transport-guarantee>
    </user-data-constraint>
</security-constraint>

5.5 重启Tomcat

# 进入Tomcat bin目录
cd $CATALINA_HOME/bin
# 停止Tomcat
./shutdown.sh
# 启动Tomcat
./startup.sh

第六章：IIS服务器部署SSL证书

IIS（Internet Information Services）是Windows平台上的主流Web服务器。

6.1 上传证书文件

将下载的IIS证书压缩包解压，得到PFX格式证书文件和TXT密码文件，上传至Windows服务器。

6.2 导入证书到Windows证书存储

双击PFX证书文件，按照证书导入向导完成导入：

选择“本地计算机”作为存储位置
输入证书密码（从TXT文件中获取）
选择“将所有的证书放入下列存储”，选择“个人”

6.3 在IIS中绑定证书

步骤一：打开IIS管理器

在Windows服务器上打开“Internet Information Services (IIS) 管理器”。

步骤二：选择网站并绑定

在左侧连接面板中选择需要配置的网站，点击右侧操作面板中的“绑定”。

步骤三：添加HTTPS绑定

点击“添加”
类型选择“https”
端口填写“443”
SSL证书选择刚才导入的证书
勾选“需要服务器名称指示”

6.4 配置HTTP自动跳转HTTPS

在IIS中可以通过安装URL Rewrite模块实现HTTP到HTTPS的自动跳转，或通过在web.config中添加以下规则：

<?xml version="1.0" encoding="UTF-8"?>
<configuration>
    <system.webServer>
        <rewrite>
            <rules>
                <rule name="Redirect to HTTPS" stopProcessing="true">
                    <match url="(.*)" />
                    <conditions>
                        <add input="{HTTPS}" pattern="off" />
                    </conditions>
                    <action type="Redirect" url="https://{HTTP_HOST}/{R:1}" redirectType="Permanent" />
                </rule>
            </rules>
        </rewrite>
    </system.webServer>
</configuration>

第七章：证书格式转换

某些情况下，可能需要将证书在不同格式之间进行转换。阿里云数字证书管理服务提供了证书格式转换工具，支持PEM与PFX、PEM与JKS、PEM与PKCS8格式之间的转换。

常用格式说明：

PEM：文本格式，常见于Nginx、Apache等服务器，文件扩展名为.pem或.crt
PFX/PKCS12：二进制格式，常见于Windows IIS、Tomcat等服务器，文件扩展名为.pfx或.p12
JKS：Java密钥库格式，专用于Java应用服务器如Tomcat

如需将CER格式证书转换为CRT格式，直接修改文件后缀即可。

第八章：进阶优化配置

8.1 启用HSTS（HTTP严格传输安全）

HSTS强制浏览器仅通过HTTPS访问网站，避免SSL剥离攻击。

Nginx配置：

add_header Strict-Transport-Security "max-age=31536000; includeSubDomains; preload" always;

Tomcat配置：在web.xml中添加

<filter>
    <filter-name>HSTSFilter</filter-name>
    <filter-class>org.apache.catalina.filters.HttpHeaderSecurityFilter</filter-class>
    <init-param>
        <param-name>hstsMaxAgeSeconds</param-name>
        <param-value>31536000</param-value>
    </init-param>
</filter>

8.2 启用OCSP装订

OCSP装订可以减少浏览器验证证书吊销状态的时间，提升HTTPS访问速度。

Nginx配置：

ssl_stapling on;
ssl_stapling_verify on;
ssl_trusted_certificate /etc/ssl/cert/your_domain.pem;

第九章：常见问题排查

9.1 443端口未开放

检查服务器安全组和防火墙是否放行了443端口。在Linux上使用以下命令检查：

sudo ss -tlnp | grep :443
# 或
sudo netstat -tlnp | grep :443

9.2 证书与私钥不匹配

验证证书文件和私钥文件的MD5值是否一致。如果不一致，表示证书和私钥关联了不同的域名。

# 查看证书MD5
openssl x509 -noout -modulus -in your_domain.pem | openssl md5
# 查看私钥MD5
openssl rsa -noout -modulus -in your_domain.key | openssl md5

9.3 证书链不完整

某些浏览器可能提示证书链不完整。需要在Nginx配置中指定完整的证书链：

ssl_certificate /etc/ssl/cert/fullchain.pem;  # 包含完整证书链

9.4 域名解析不正确

确保证名的DNS解析已正确指向服务器IP。使用以下命令验证：

ping your_domain.com
# 或
dig your_domain.com

9.5 证书已过期

免费证书有效期为90天，到期后需要重新申请。建议设置日历提醒，在证书到期前及时更新。

9.6 系统时间不正确

客户端系统时间不正确会导致证书过期或校验不成功，提示证书风险。需要将系统时间修改正确后再尝试浏览网站。

结语

本文系统地介绍了阿里云SSL证书从申请到部署在Nginx、Tomcat、IIS三大主流Web服务器上的完整流程。通过合理选择证书类型、正确完成域名验证、准确配置服务器参数，即可为网站启用HTTPS加密传输，保障数据安全并提升用户信任。希望本文能帮助读者顺利完成HTTPS配置，让网站安全无忧地运行在互联网上。

常见问题问答

问1：阿里云免费SSL证书的有效期是多久？每年可以申请多少张？

答：阿里云个人测试证书（免费版）有效期为90天（3个月）。每个实名认证的阿里云账号在一个自然年内可免费领取20张。

问2：Nginx部署SSL证书时，需要配置哪些关键参数？

答：核心参数包括ssl_certificate（证书文件路径）、ssl_certificate_key（私钥文件路径）、ssl_protocols（推荐TLSv1.2 TLSv1.3）。同时需要确保443端口已开放，并建议配置HTTP到HTTPS的301重定向。

问3：Tomcat服务器支持哪些SSL证书格式？有什么区别？

答：Tomcat支持JKS和PFX（PKCS12）两种格式。JKS是Java专用格式，适合纯Java环境；PFX是通用格式，支持跨平台和非Java系统集成。

问4：IIS服务器部署SSL证书后，如何实现HTTP自动跳转HTTPS？

答：可以通过安装URL Rewrite模块，在web.config中添加重写规则，将所有HTTP请求永久重定向（301）到HTTPS版本。

问5：部署SSL证书后网站仍然显示“不安全”，该如何排查？

答：按以下顺序排查：①检查443端口是否开放；②确认证书与私钥是否匹配（MD5校验）；③验证证书链是否完整；④检查域名解析是否正确指向服务器；⑤确认证书未过期；⑥检查客户端系统时间是否正确。

问6：不同服务器类型下载的证书格式有什么区别？

答：Nginx下载.pem+.key；Tomcat下载.pfx或.jks+密码文件；IIS下载PFX+密码文件。数字证书管理服务根据服务器类型自动打包对应格式，无需手动转换。

探索云世界

热门

云计算

大数据

云原生

人工智能

数据库

开发与运维

活动广场

任务中心

训练营

直播

乘风者计划

下载

镜像站

技术资料

阿里云SSL证书完全指南：从申请到Nginx/Tomcat/IIS全服务器部署实战