阿里云SSL证书申请与部署指南
HTTPS已经是网站的标配，不仅保护用户数据安全，也是搜索引擎排名的加分项。阿里云提供免费的DV SSL证书，也支持购买OV/EV证书。本文从申请到部署，完整介绍SSL证书的全流程。
「阿里云SSL证书申请与部署指南」提醒我们一个朴素的事实：证书管理与 HTTPS 加固靠的不是临场发挥，而是平时的体系化建设。告警是否准确、日志是否齐全、权限是否收敛，决定了故障来临时是从容处置还是手忙脚乱。
证书类型选择
DV（域名验证）：只验证域名所有权，颁发速度快（10分钟），适合个人网站和小型企业。阿里云免费提供20张/年的DV证书（单域名，有效期3个月）。
OV（组织验证）：验证企业身份信息，证书中显示公司名称，适合中型企业。需要提交营业执照等材料，审核约3-5个工作日。
EV（扩展验证）：最严格的验证，浏览器地址栏显示公司名称（绿色地址栏），适合金融、电商等高安全需求网站。审核约1-2周。
免费证书申请
SSL证书控制台 → 创建证书 → 选择免费DV证书 → 填写域名 → 提交审核。域名验证方式有两种：
DNS验证：在域名解析中添加一条TXT记录（阿里云会给出具体值）。适合域名在阿里云注册的情况，可以自动验证。
文件验证：在Web服务器指定路径放置验证文件。适合域名不在阿里云的情况。
审核通过后约10分钟即可下载证书。下载时选择对应Web服务器格式：Nginx选PEM、Apache选PEM、IIS选PFX、Tomcat选PFX。
部署证书
SLB部署：在SLB监听配置中 → HTTPS监听 → 上传证书（或选择已有证书）。开启HTTPS后建议配置HTTP→HTTPS强制跳转。
CDN部署：在CDN域名配置中 → HTTPS配置 → 开启并选择证书。CDN需要额外配置TLS版本（建议TLS 1.2+）和加密套件。
ECS部署（Nginx）：下载证书文件，修改Nginx配置添加ssl_certificate和ssl_certificate_key指令。重启Nginx生效。
自动续期
免费证书有效期3个月，到期前需要重新申请。如果使用阿里云DNS且证书部署在云产品上（SLB/CDN/WAF），可以开启自动续期功能，到期前自动申请新证书并部署，无需人工干预。
证书管理与 HTTPS 加固的体系化思路
与其追求单点工具的极致配置，不如先保证覆盖面：关键资产是否都在监控之内、重要操作是否都有审计、对外暴露面是否都经过评估。覆盖面完整之后，再谈深度优化才有意义。
体系化的另一个好处是可传承：不依赖某个人的记忆，而是依赖流程与清单，团队整体水位才会稳定提升。
一份可执行的日常清单
- 暴露面盘点：定期梳理对外端口与服务，关闭不必要的开放。
- 权限最小化：账号与密钥按最小权限分配，定期回收闲置权限。
- 告警治理：清理长期无人响应的告警，保证留下的告警都值得处理。
- 预案演练：对高频故障场景准备处置预案并定期演练。
清单不复杂，难在坚持；而证书管理与 HTTPS 加固的差距，恰恰体现在坚持上。