SSL证书安装教程:4种方法,一步步操作

教你在托管建站平台、cPanel、Nginx或Apache上安装SSL证书,或用Let's Encrypt和certbot安装,并附上验证安装是否成功的检查步骤。

常见问题

安装SSL证书需要多长时间?

如果你用的是托管建站平台,或支持自动SSL的主机,只要域名解析指向正确的位置,证书通常会自动签发,无需你做任何操作。在自己的服务器上手动安装,则取决于你生成密钥、申请签发证书、修改配置并重载服务器所需的时间。签发耗时取决于证书颁发机构和验证方式,因此没有一个适用于所有服务商的统一时长。

Let's Encrypt的证书真的免费吗?有效期多久?

是的,Let's Encrypt免费签发证书。其常见问题解答说明,默认证书有效期为90天,且无法调整,并建议90天有效期的证书每60天续期一次。Let's Encrypt还宣布,其默认配置将于2027年2月10日改为64天有效期的证书,并于2028年2月16日改为45天有效期的证书。这也是应该把续期自动化、而不是手动续期的又一个理由(2026年11月核实)。

安装证书后,浏览器为什么还显示“不安全”?

最常见的原因有三个:证书链不完整(缺少中间证书);证书签发的域名与你访问的不一致,例如只签了裸域名而没有www;或者存在混合内容,即页面是HTTPS,却仍通过 http:// 加载图片或脚本。你可以用 openssl s_client 检查证书链,并在页面源代码中查找 http:// 开头的地址。

证书文件和私钥有什么区别?

证书是公开的:服务器会把它发送给每一位访客。私钥则保存在你的服务器上,用来证明你拥有该证书。Nginx文档指出,私钥应存放在访问受限的文件中,但nginx主进程必须能够读取它。私钥一旦丢失就无法找回,只能重新申请证书。

如果我用的是建站平台,还需要安装SSL证书吗?

通常不需要。托管建站平台一般会为已连接的域名自动配置并续期HTTPS。你仍然需要做的是:把域名的DNS指向建站平台,并在连接完成后确认根域名和www版本都显示了小锁图标。

简短回答: 安装SSL证书的方式取决于你的网站托管在哪里。如果用托管建站平台,一切都是自动的,你只需连接域名。如果用cPanel主机,通常由AutoSSL处理,或者你把证书和私钥粘贴到SSL/TLS工具中。如果是自己的Nginx或Apache服务器,最快的方式是用Let's Encrypt配合certbot:它会获取证书、修改配置并设置好续期。无论哪种方式,安装后都要确认小锁图标、从http到https的跳转以及自动续期。

哪种安装方式适合你?

你的网站运行在哪里	你要做什么	难度	续期
托管建站平台	连接你的域名;HTTPS由平台自动配置	最低	由平台处理
使用cPanel的共享主机	使用AutoSSL,或在SSL/TLS下安装购买的证书	低到中	AutoSSL自动续期;购买的证书需自行续期
自己的VPS(Nginx或Apache)	运行certbot,或手动安装证书文件	中	certbot会设置自动续期任务
从服务商购买的付费证书	生成CSR,提交后安装收到的文件	最高	到期前手动续期

如果你不确定需要哪种证书(域名验证型、组织验证型、通配符证书),请先阅读 SSL证书类型。如果你在纠结免费还是付费,SSL证书费用列出了各种选择。想了解基础知识,请看什么是SSL证书。

开始之前:检查清单

在动任何服务器之前,先逐项确认。大多数安装失败都能追溯到下面某一项。

[ ] 你域名的A/AAAA记录(或CNAME)已指向你要安装证书的服务器或平台。
[ ] 如果打算使用certbot的webroot、Nginx或Apache插件,你可以通过80端口以普通 http:// 访问网站。
[ ] 防火墙和主机服务商的安全组已开放443端口。
[ ] 你清楚证书必须覆盖的所有域名:example.com 和 www.example.com。
[ ] 如果你的域名设置了CAA记录,其中至少有一条允许你所用的证书颁发机构签发。
[ ] 你已备份当前的服务器配置。

方法一:托管建站平台(自动)

使用托管建站平台时,你无需生成密钥,也无需编辑服务器文件。通用流程如下:

在建站平台的域名设置中添加你的自定义域名。
在域名注册商处,按平台提示创建相应的DNS记录。
等待DNS生效,然后用 https:// 同时打开根域名和www版本的网站。
如果没有出现小锁图标,请重新检查DNS记录。域名未指向平台之前,证书无法签发。

整个流程就是这些。如果你还在选择建站平台,We.Inc的免费方案允许你用现成模板发布最多三个网站;通过提示词由AI生成网站初稿的AI建站功能,则从Starter方案起,每月$20。你可以在这里注册。

方法二:cPanel主机

cPanel有两种途径。先检查第一种,再考虑第二种。

先检查AutoSSL

打开 cPanel > Security(安全)> SSL/TLS Status。根据cPanel文档,这个界面可以让你查看、升级或续期域名的证书,并找出未加密或即将到期的域名。如果你的域名显示没有有效证书,且主机商已启用AutoSSL,可以在同一界面运行AutoSSL。该功能是否可用由你的主机服务商决定(在WHM的Feature Manager中设置),所以如果你看不到,请询问主机商。

手动安装购买的证书

进入 cPanel > Security(安全)> SSL/TLS。在私钥(private keys)部分生成一个密钥(或上传你已有的密钥)。cPanel提醒,丢失的私钥无法恢复,所以请在安全的地方保留一份副本。
为你的域名生成证书签名请求(CSR),并提交给证书服务商。
完成服务商的域名验证,然后下载证书和CA bundle。
回到SSL/TLS区域,打开为网站安装和管理SSL的页面,粘贴证书、对应的私钥和CA bundle。
保存后,通过 https:// 测试网站。

cPanel文档指出,区域文件中的CAA记录会限制哪些证书颁发机构可以为你的域名签发证书。如果签发失败,请到 cPanel > Domains(域)> Zone Editor 检查是否有冲突的CAA记录。

不同版本的cPanel界面名称可能略有差异,如果你的布局稍有不同,请以屏幕上的标签为准。

方法三:使用Let's Encrypt和certbot(Nginx或Apache)

这是管理自己的VPS或独立服务器时的标准做法。以下步骤依据Certbot官方在Linux上用snap安装并配合Nginx的说明(2026年11月核实)。Certbot官网也提供了Apache及其他系统的对应说明,请在那里选择与你环境匹配的组合。

确认你的网站已经可以通过 http://yourdomain.com 访问。Certbot的Nginx和Apache模式需要一个可通过80端口访问的现有HTTP网站。
如果你通过系统包管理器安装过旧版certbot,请先将其卸载(例如使用apt、dnf或yum)。
安装certbot:

``bash sudo snap install --classic certbot sudo ln -s /snap/bin/certbot /usr/local/bin/certbot ``

获取证书,并让certbot自动修改你的Nginx配置:

``bash sudo certbot --nginx ``

如果只想获取证书、自己修改配置,请改用 sudo certbot certonly --nginx。对于Apache,对应的参数是 --apache。

测试自动续期:

``bash sudo certbot renew --dry-run ``

Certbot的安装包自带cron任务或systemd定时器,会在证书到期前自动续期,你可以用 systemctl list-timers 查看定时器是否处于启用状态。如果80端口被封锁,或者你想申请通配符证书,请改用DNS验证。

方法四:在Nginx中手动安装证书文件

当服务商给了你一个证书文件和一个CA bundle时,请使用这种方式。Nginx文档说明了所需的几个部分:监听套接字上的 ssl 参数,以及证书和私钥的路径。

``nginx server { listen 443 ssl; server_name www.example.com; ssl_certificate www.example.com.chained.crt; ssl_certificate_key www.example.com.key; } ``

手动安装时,大多数错误都出在两个细节上:

证书链顺序。 如果服务商提供了bundle,请把文件合并,并让你的服务器证书排在最前面:cat www.example.com.crt bundle.crt > www.example.com.chained.crt。Nginx文档警告说,顺序颠倒会导致nginx启动失败,并报“key values mismatch”错误。
私钥权限。 私钥文件应限制访问权限,但nginx主进程仍必须能够读取它。

默认情况下,nginx使用TLSv1.2和TLSv1.3,所以通常不需要显式设置协议。运行 sudo nginx -t 测试配置,然后重载nginx。

对于Apache,原理相同,同样是三个要素:启用SSL模块,让SSL虚拟主机指向你的证书、私钥和证书链文件,然后测试配置并重载。指令名称与Nginx不同,请参照你所用发行版的Apache文档。

验证安装结果

不要只看“网站能打开”就停下来。请逐项检查:

两个域名都有小锁。 访问 https://example.com 和 https://www.example.com。
跳转。 打开 http://example.com,确认它会跳转到 https://。
证书链。 运行 openssl s_client -connect example.com:443,这是Nginx文档建议用来确认服务器发送了完整证书链的命令。
混合内容。 在几个页面上打开浏览器的开发者控制台,查找被拦截的 http:// 请求,并把这些地址改为 https://。
到期与续期。 记下到期日期,确认续期是自动进行的,或者把到期日期加入你的日历。

常见问题速查

浏览器提示颁发者不受信任: 缺少中间证书。按上文所示重新生成合并后的证书链文件。
修改后Nginx无法启动: 检查证书和私钥的顺序,并确认私钥与证书匹配。
Certbot无法完成验证: 确认DNS指向这台服务器且80端口已开放,或者改用DNS验证。
证书覆盖的域名不对: 重新签发,并同时列出根域名和www。

如果你在做本地服务类网站并希望获得排名,HTTPS只是最基本的条件。想了解下一步怎么做,可以看看太阳能安装商和排水沟安装商是如何搭建网站的。

免费开始 · 无需信用卡

Umair Ali Sadaqat

We.Inc 创始人

Umair 是 We.Inc 的创始人。他撰写有关 AI 建站、代理机构以及经营网站工作室的文章。

准备好打造出色的作品了吗？

加入 15,000+ 家使用 We.Inc 在一个平台上完成上线、增长和自动化的企业。