web证书

浏览器地址栏里那个小锁图标，点开之后能看到一串让人头大的英文——什么“颁发给”、“颁发者”、“有效期”。这玩意儿就是 web 证书。说人话：它是一张数字身份证，用来证明“你正在访问的 https://example.com 确实是 example.com，而不是某个蹲在星巴克蹭网的家伙伪造的钓鱼站”。

我最早接触证书是在五年前。当时给一个客户做官网，部署到服务器之后浏览器直接弹红脸——“您的连接不是私密连接”。客户截图发过来，语气里带着恐慌，好像网站已经被黑客攻陷了。其实原因特简单：我没配 SSL 证书，服务器还在用裸 HTTP 跑。后来花 80 块钱买了个 DV 证书，把 Nginx 配置改了三行，世界安静了。

证书分三种：DV、OV、EV。DV 就是域名验证，Let's Encrypt 免费签的那种，只证明“你控制这个域名”。OV 要查公司营业执照，EV 更严，以前还会让地址栏变绿显示公司名——后来 Chrome 把绿条砍了，EV 和 DV 在视觉上没区别，价格却差几十倍。我个人的判断：普通博客、API 服务，DV 完全够用。除非你要跟银行、政府打交道，对方合同里白纸黑字要求 OV，那没辙。

申请证书的过程其实不复杂。以 Let's Encrypt 为例，装个 certbot，跑一行命令 certbot --nginx -d yourdomain.com，它自动帮你改 Nginx 配置、申请证书、设置定时续期。整个过程不到两分钟。但很多人卡在“域名解析”这一步——DNS 记录没生效，或者 CNAME 指错了地方，certbot 验证失败，报一堆看不懂的错。我见过最离谱的案例：有人把域名 A 记录指向了内网 IP 192.168.1.1，然后问为什么证书签不下来。这跟证书没关系，是网络基础没搞明白。

证书链也是个容易翻车的地方。你从 CA 拿到的通常不是单个文件，而是一串：你的证书 + 中间证书 + 根证书。服务器配置里如果只放了你的证书，没带中间证书，某些浏览器（尤其是老安卓机）就会报错。我习惯用 openssl s_client -connect example.com:443 -showcerts 检查链是否完整。输出里如果看到 “verify error:num=20:unable to get local issuer certificate”，那就是中间证书缺失。补上就行。

还有件事挺有意思：证书透明度（Certificate Transparency）。现在所有公开信任的 CA 签发的证书都会记录到 CT 日志里，任何人都能查。这意味着你给 internal.company.com 签了张公网证书，哪怕没解析到公网 IP，别人也能通过 crt.sh 搜到你的内部域名。我有个做安全的朋友，专门用这个法子帮客户发现“不小心泄露的内部子域名”。所以，内网服务别用公网 CA，自己搭个私有 CA 或者用自签名证书，省事又安全。

最后说个实在的：证书不是配完就一劳永逸。Let's Encrypt 有效期 90 天，商业 CA 最多 398 天。忘了续期，网站就挂。我现在的做法是——所有证书统一用 acme.sh 管理，配好 DNS API 自动续期，再挂个监控脚本，到期前 15 天发邮件提醒。听起来麻烦？其实脚本写一次，后面三年都不用管。比等到用户打电话说“你们网站红了”要体面得多。

那个小锁图标背后，是一整套信任机制在运转。搞懂它，不为了装逼，就为了别在半夜被报警短信吵醒。