什么是SSL证书

实现原理介绍

SSL证书的加密过程

SSL协议通过非对称加密认证身份与对称加密传输数据的混合机制实现安全通信。其核心流程分为证书生成和验证与构建加密会话两个阶段：

1. 证书生成和验证

   • 服务器向CA申请证书时，首先生成RSA 2048位或ECC 256位的密钥对，将公钥、域名、企业信息等打包为CSR请求。

   • CA通过域名所有权验证（DNS解析/文件验证）后，用自身私钥对服务器公钥进行数字签名，生成标准证书。该签名形成信任链：根证书→中间证书→服务器证书，浏览器逐级验证防止伪造。

2. 构建加密会话

   • 在TLS握手中，客户端发送ClientHello消息以启动握手过程，包含支持的密码套件列表、随机数等。

   • 服务器响应ServerHello，选择密码套件，并发送其证书链。

   • 客户端验证证书的有效性，包括域名匹配、有效期和吊销状态检查（例如OCSP）。

   • 客户端生成一个预主密钥，用服务器的公钥加密后发送给服务器。

   • 双方使用预主密钥和各自的随机数，通过密钥交换机制（例如ECDHE或DHE）推导出会话密钥。

   • 后续通信使用对称加密（如AES）进行，以提高性能并降低计算开销。

场景与用途

未部署SSL证书的网站如同在互联网中“裸奔”：所有数据传输均为明文，攻击者可轻易通过公共WiFi、网络嗅探等手段截获用户密码、银行卡号等敏感信息，典型案例如电商支付页面遭中间人攻击导致资金盗刷。浏览器会标记此类站点为不安全，直接造成流量流失。同时，未加密通信可能违反多项全球法规，企业可能面临高额罚款，并失去在金融、医疗等行业的合规准入资格。

启用SSL证书后，通过混合加密机制构建的安全通道，即使数据被截获，破解也是极其困难且耗时的，需要耗费巨大的计算资源和时间。浏览器地址栏显示锁型图标或企业名称（EV证书），用户信任度提升，显著提高网站的信任度。法律上，SSL证书满足等保2.0、PCI DSS等20余项国际认证，规避法律风险。

证书使用流程说明

SSL证书购买

阿里云提供三种类型的 SSL 证书供选择：DV 证书、OV 证书和 EV 证书。在证书品牌方面，阿里云支持多个可信赖的证书颁发机构（CA），包括 DigiCert、GlobalSign 和 GeoTrust等。这些机构提供多种 SSL 证书类型，如单域名证书、通配符证书和多域名证书。您可以依据网站的具体需求和安全要求有关选择证书的品牌与类型。证书的获取方式，请参见购买正式证书或购买个人测试证书。

SSL证书创建与申请

证书申请流程分为创建证书、申请证书、域名所有权验证三个步骤。

• 创建证书

  在购买个人测试证书或正式证书并获得证书的申请资格后，您需要绑定保护的域名，如果购买证书时已经绑定域名则跳过此步骤。请参见创建证书。

• 申请证书

  需要根据不同的证书类型填写相应的信息（证书绑定的域名或IP、域名验证方式、联系人以及公司和营业执照等）并提交证书申请审核。请参见申请证书。

• 域名所有权验证

  在证书颁发机构（CA）为您的网站签发证书之前，您需要配合CA中心，验证您证书绑定的域名的所有权或管理权限。请参见域名所有权验证。

SSL证书部署

一旦SSL证书获得批准并颁发，便可进行部署。证书部署将SSL证书安装至服务器上，以确保网站通过HTTPS协议进行安全通信。部署步骤可能因服务器类型及托管环境的不同而有所变化，常见的服务器包括Apache、Nginx和IIS等。请参见部署SSL证书。

证书后续操作

证书续费

SSL证书续费是指在现有的SSL证书即将到期时，通过重新申请和安装新的SSL证书来继续保持网站的加密连接和安全性。SSL证书通常有固定的时长，最长有效期为397天，即约13个月，到期后如果不续费，网站将面临安全风险，可能会出现浏览器的安全警告，从而影响用户信任和访问。请参见SSL正式证书续费。

SSL证书吊销

如果您出于安全或其他方面的考虑，决定不再使用已签发的SSL证书，您可以选择将其吊销。吊销证书意味着从CA（证书颁发机构）处注销该证书，从而确保其不再被用于安全通信。请参见吊销和删除SSL证书。

证书的品牌与类型

阿里云SSL证书服务支持购买多种品牌与类型。购买时需要考虑部署场景、证书类型、安全等级、价格等因素，请参见SSL证书选购指引。

证书品牌

SSL证书支持的多个证书品牌如下表所示。