【导读】

正确为服务器添加SSL证书是实现全站HTTPS访问的前提。本文提供经生产验证的操作路径，涵盖证书申请、私钥匹配、服务重启及连通性校验四步闭环。

SSL证书部署前的关键准备

部署前需确认三项要素是否齐备：

• - 已完成域名所有权验证并成功签发有效SSL证书（含.crt公钥文件与.key私钥文件）；
• - Web服务器已启用TLS协议支持（OpenSSL版本≥1.0.2或BoringSSL兼容）；
• - 防火墙放行TCP端口443且未被反向代理拦截。

Nginx环境下SSL证书加载实操

修改站点server块配置，关键参数如下：

1. 指定证书链路径：ssl_certificate /path/to/fullchain.pem;
2. 绑定对应私钥：ssl_certificate_key /path/to/private.key;
3. 强制HTTP跳转HTTPS：return 301 https://$host$request_uri;
4. 重载生效：nginx -t && nginx -s reload

Apache与IIS适配差异说明

不同平台存在结构性区别：

• - Apache需同时加载SSLCertificateFile与SSLCertificateKeyFile指令，并启用mod_ssl模块；
• - IIS通过图形化界面导入PFX格式证书包，系统自动生成SNI绑定关系；
• - 所有平台均应禁用SSLv2/v3及弱密码套件（如RC4-SHA），推荐启用TLS 1.2+。

上线后必检项清单

证书部署完成后，请逐项核验：

• - 使用curl命令测试响应头是否存在Strict-Transport-Security策略；
• - 访问https://yourdomain.com查看地址栏锁形图标是否完整显示；
• - 登录SSL Labs官网提交检测链接，评级达A及以上视为合格。

*本文由新网（Xinnet）内容中心编辑整理，转载请注明出处。

常见问题

• Q：为何上传证书后仍显示“NET::ERR_CERT_AUTHORITY_INVALID”？
• A：通常因缺少中间CA证书链，需合并根证书与中级证书生成fullchain.pem文件后再部署。