阿里云SSL证书申请到Nginx/Tomcat/IIS部署实战全攻略完整版

前言：为什么你的网站需要HTTPS

说到底，网站的安全性，就是用户信任的基石。HTTP协议传输数据时完全是“裸奔”状态，信息泄露、内容被篡改、遭遇中间人攻击，风险一个接一个。现在的主流浏览器，对没有启用HTTPS的网站，会直接打上“不安全”的标签，这对用户的访问意愿和搜索引擎排名来说，几乎是致命打击。为Web服务器配置一张HTTPS证书，不仅仅是给数据传输加个密、保护用户隐私那么简单，它更是提升网站专业形象和SEO权重的一步关键棋。

简单解释下，SSL（Secure Sockets Layer）和它的接班人TLS（Transport Layer Security），本质上是一种在客户端和服务器之间建立安全通信通道的加密协议。我们常说的SSL证书，是由CA（证书颁发机构）签发的，里面包含了网站的公钥、域名信息、颁发机构以及有效期等关键数据。当你通过HTTPS访问网站时，浏览器会先验证这张证书的合法性，然后和服务器协商出一套加密密钥。这样一来，数据传输的机密性和完整性就有了保障。

第一章：阿里云SSL证书类型与选型

阿里云的数字证书管理服务，提供了几种不同类型的SSL证书，主要可以分成这么几类：

1.1 个人测试证书（免费版）

这个版本由DigiCert颁发，是DV（域名验证型）单域名证书。每个阿里云账号在一个自然年内可以免费领20张，有效期是90天（3个月）。它最适合个人博客、开发测试环境这类非生产场景。要注意的是，免费版到期后不支持续费，需要重新申请。

1.2 个人测试证书（Pro）

这是付费版本，有效期12个月，证书周期更长，技术支持也更到位。

1.3 正式证书

这里面包括DV、OV（组织验证型）、EV（扩展验证型）好几个级别，支持单域名、多域名和通配符域名，有效期通常是一年。它主要面向企业官网、电商平台、金融系统这些对安全要求高的生产环境。

• DV证书：只验证域名所有权，签发速度飞快（1~15分钟），价格也便宜。
• OV证书：需要验证企业真实性，证书里会显示企业信息，签发时间大概是5个自然日。
• EV证书：最高级别的验证，能提供最高的信任度，签发时间也差不多需要5个自然日。

对大多数个人站长和中小企业来说，个人测试证书（免费版）基本就能满足HTTPS加密的需求了。如果你想要更长的有效期或更高的安全级别，再考虑购买付费证书也不迟。

（删除原文中“需要先登录阿里云控制台，点击：阿里云控制台”的引导内容）

第二章：申请SSL证书

2.1 准备工作

在申请SSL证书前，有几件事得先搞定：

• 阿里云账号已经完成实名认证
• 拥有一个已备案的域名（如果服务器在国内的话）
• 域名已经添加了DNS解析记录，指向服务器的公网IP地址
• 服务器安全组里已经放行了443端口

2.2 申请个人测试证书（免费版）

步骤一：进入数字证书管理服务控制台

登录阿里云控制台，在顶部搜索框输入“SSL证书”或“数字证书管理服务”，就能进到证书管理页面了。

步骤二：领取免费证书额度

在左侧导航栏选择“证书管理” > “SSL证书管理”，点一下“个人测试证书（原免费证书）”页签，然后点击“立即购买”。在购买面板里保持默认选项，勾选服务协议，0元支付就行了。

步骤三：创建证书并提交申请

在“个人测试证书”页签，点击“创建证书”，填好以下信息：

• 域名名称：输入需要绑定证书的域名，比如example.com。系统会自动包含www.example.com的SAN扩展域名。
• 验证方式：可以选择“自动DNS验证”或“手动DNS验证”。

步骤四：完成域名验证

如果选择自动DNS验证，而且域名在阿里云DNS管理下，系统会自动添加TXT记录并完成验证，你只需要等着证书签发就行。如果选择手动DNS验证，就需要登录域名DNS管理控制台，手动添加一条TXT记录，记录值就是CA机构提供的验证字符串。

验证通过后，CA机构会签发证书，状态会变成“已签发”。

第三章：下载SSL证书

证书签发后，进入SSL证书管理页面，在目标证书的操作列点击“更多”进入证书详情页面，然后在下载页签里，根据你的服务器类型下载对应的证书。

不同服务器支持的SSL证书格式是不一样的：

• Nginx：下载Nginx类型的证书，包含.pem证书文件和.key私钥文件。
• Tomcat：下载Tomcat类型的证书，包含.pfx或.jks证书文件和.txt密码文件。
• IIS：下载IIS类型的证书，包含PFX格式证书文件和TXT密码文件。

特别提醒一下：如果你申请证书时用的是OpenSSL、Keytool这类工具生成的CSR文件，私钥文件只会保存在你本地，下载的证书包里是不包含私钥的。如果私钥丢了，那证书就没法用了。

第四章：Nginx服务器部署SSL证书

Nginx是目前最流行的Web服务器之一，下面是在Linux系统上为Nginx部署SSL证书的完整步骤。

4.1 上传证书文件

把解压后的证书文件（.pem）和私钥文件（.key）上传到服务器，放在一个安全的目录里，比如 /etc/ssl/cert 目录。

4.2 配置Nginx

编辑Nginx配置文件（通常在 /etc/nginx/conf.d/ 或 /etc/nginx/sites-a vailable/ 目录下），添加以下配置：

配置说明：

• listen 443 ssl http2：监听443端口，启用SSL和HTTP/2协议。
• ssl_certificate：指定证书文件路径（.pem格式）。
• ssl_certificate_key：指定私钥文件路径（.key格式）。
• ssl_protocols：只启用高安全性的TLSv1.2和TLSv1.3协议，把老旧不安全的TLSv1.0和TLSv1.1关掉。

4.3 配置HTTP自动跳转HTTPS

要想强制所有HTTP流量跳转到HTTPS，可以添加以下配置：

4.4 验证配置并重启Nginx

第五章：Tomcat服务器部署SSL证书

Tomcat支持JKS（Ja va KeyStore）和PFX（PKCS12）两种格式的SSL证书。

5.1 选择证书格式

• JKS：Ja va专用的密钥库格式，适合主要在Ja va环境下使用。
• PFX：通用格式，被Ja va及其他平台广泛支持，适合跨技术栈的场景。

5.2 上传证书文件

把解压后的证书文件（.pfx或.jks）和密码文件（.txt）上传到服务器，放在一个安全目录里，比如 /etc/ssl/cert。

5.3 配置Tomcat

编辑Tomcat的 server.xml 配置文件（通常在 $CATALINA_HOME/conf/server.xml），在标签内添加或修改 Connector：

PFX格式配置：

JKS格式配置：

5.4 配置HTTP跳转HTTPS

在 web.xml 中添加以下安全约束配置，可以把HTTP请求重定向到HTTPS：

5.5 重启Tomcat

第六章：IIS服务器部署SSL证书

IIS（Internet Information Services）是Windows平台上的主流Web服务器。

6.1 上传证书文件

把下载的IIS证书压缩包解压，你会得到一个PFX格式的证书文件和一个TXT密码文件，把它们上传到Windows服务器上。

6.2 导入证书到Windows证书存储

双击PFX证书文件，按照证书导入向导完成导入：

• 选择“本地计算机”作为存储位置。
• 输入证书密码（从TXT文件中获取）。
• 选择“将所有的证书放入下列存储”，然后选择“个人”。

6.3 在IIS中绑定证书

步骤一：打开IIS管理器

在Windows服务器上打开“Internet Information Services (IIS) 管理器”。

步骤二：选择网站并绑定

在左侧连接面板中选择需要配置的网站，点击右侧操作面板中的“绑定”。

步骤三：添加HTTPS绑定

• 点击“添加”。
• 类型选择“https”。
• 端口填写“443”。
• SSL证书选择刚才导入的证书。
• 勾选“需要服务器名称指示”。

6.4 配置HTTP自动跳转HTTPS

在IIS中，你可以通过安装URL Rewrite模块实现HTTP到HTTPS的自动跳转，或者直接在web.config中添加以下规则：

第七章：证书格式转换

有些情况下，你可能需要把证书在不同格式之间来回转换。阿里云数字证书管理服务提供了证书格式转换工具，支持PEM与PFX、PEM与JKS、PEM与PKCS8格式之间的转换。

这里也整理一下常用格式的区别：

• PEM：文本格式，常见于Nginx、Apache等服务器，文件扩展名是.pem或.crt。
• PFX/PKCS12：二进制格式，常见于Windows IIS、Tomcat等服务器，文件扩展名是.pfx或.p12。
• JKS：Ja va密钥库格式，专用于Ja va应用服务器比如Tomcat。

如果你想把CER格式的证书转换成CRT格式，直接改一下文件后缀名就可以了。

第八章：进阶优化配置

8.1 启用HSTS（HTTP严格传输安全）

HSTS可以强制浏览器只通过HTTPS访问你的网站，能有效避免SSL剥离攻击。

Nginx配置：

Tomcat配置：在web.xml中添加

8.2 启用OCSP装订

OCSP装订可以减少浏览器验证证书吊销状态的时间，从而提升HTTPS的访问速度。

Nginx配置：

第九章：常见问题排查

9.1 443端口未开放

检查一下服务器安全组和防火墙是否放行了443端口。在Linux上可以用这条命令检查：

9.2 证书与私钥不匹配

验证一下证书文件和私钥文件的MD5值是否一致。如果不一致，说明证书和私钥关联的是不同的域名。

9.3 证书链不完整

有些浏览器可能会提示证书链不完整。你需要在Nginx配置中指定完整的证书链：

9.4 域名解析不正确

确认一下域名的DNS解析已经正确指向了服务器IP。用下面这些命令可以验证：

9.5 证书已过期

免费证书的有效期是90天，到期后需要重新申请。建议设置一个日历提醒，在证书到期前及时更新。

9.6 系统时间不正确

客户端的系统时间不对，也会导致证书校验不成功，提示证书风险。把系统时间修改正确后再试试。

结语

这篇文章系统地梳理了阿里云SSL证书从申请到部署在Nginx、Tomcat、IIS这三大主流Web服务器上的完整流程。只要合理选择证书类型、正确完成域名验证、再准确配置服务器参数，就能为网站启用HTTPS加密传输，既保障了数据安全，也提升了用户信任。希望这份指南能帮你顺利完成HTTPS配置，让你的网站安全无忧地运行在互联网上。

常见问题问答

问1：阿里云免费SSL证书的有效期是多久？每年可以申请多少张？

答：阿里云个人测试证书（免费版）有效期为90天（3个月）。每个实名认证的阿里云账号在一个自然年内可免费领取20张。

问2：Nginx部署SSL证书时，需要配置哪些关键参数？

答：核心参数包括ssl_certificate（证书文件路径）、ssl_certificate_key（私钥文件路径）、ssl_protocols（推荐TLSv1.2 TLSv1.3）。同时要确保443端口已经开放，并且建议配置HTTP到HTTPS的301重定向。

问3：Tomcat服务器支持哪些SSL证书格式？有什么区别？

答：Tomcat支持JKS和PFX（PKCS12）两种格式。JKS是Ja va专用格式，适合纯Ja va环境；PFX是通用格式，支持跨平台和非Ja va系统集成。

问4：IIS服务器部署SSL证书后，如何实现HTTP自动跳转HTTPS？

答：可以通过安装URL Rewrite模块，在web.config中添加重写规则，将所有HTTP请求永久重定向（301）到HTTPS版本。

问5：部署SSL证书后网站仍然显示“不安全”，该如何排查？

答：可以按以下顺序排查：①检查443端口是否开放；②确认证书与私钥是否匹配（MD5校验）；③验证证书链是否完整；④检查域名解析是否正确指向服务器；⑤确认证书未过期；⑥检查客户端系统时间是否正确。

问6：不同服务器类型下载的证书格式有什么区别？

答：Nginx下载.pem和.key；Tomcat下载.pfx或.jks以及密码文件；IIS下载PFX和密码文件。数字证书管理服务会根据服务器类型自动打包成对应的格式，一般不需要手动转换。