阿里云ssl证书申请

去年帮一个做跨境电商的阿里朋友处理网站被浏览器标红的问题，折腾一圈下来发现根子就在SSL证书过期了。证书他图省事一直用某免费证书，申请每三个月续一次，阿里结果有次忘了，证书Chrome直接弹“不安全”，申请转化率当天掉了三成。阿里后来我让他去阿里云买付费证书，证书一年一续，申请省心得多。阿里这件事让我意识到，证书很多人对SSL证书的申请申请流程其实并不清楚，尤其是阿里阿里云这套体系，看着选项多，证书摸清门道后十分钟就能搞定。申请

阿里云的SSL证书入口藏得不算深。登录控制台，搜“SSL证书”就能进到数字证书管理服务页面。第一次用可能需要开通一下服务，免费，不花钱。进去之后左侧菜单有“证书管理”和“证书申请”两个关键项，别被“证书资源包”之类的名字绕晕，直接点“免费证书”或者“付费证书”的购买入口就行。

免费证书每人每年有20张额度，单域名，有效期三个月。适合个人博客、测试环境，或者像我当时那样临时救急。付费证书从几百到几千不等，区别主要在保修金额、支持域名数量和签发速度上。DV证书几分钟就能签下来，OV和EV要人工审核，得等一两个工作日。有个细节：阿里云的付费证书经常有折扣，尤其618和双11，五折是常态，不急的话可以蹲一蹲。

申请流程本身不复杂。选好证书类型后点“创建证书”，填域名。这里有个坑——如果你要给www.example.com和example.com都上证书，得买通配符证书或者多域名证书，单域名证书只认你填的那个。填完域名下一步是提交审核，DV证书自动验证，系统会给你几个验证方式：DNS验证、文件验证、邮件验证。DNS验证最稳，去域名解析后台加一条TXT记录，等几分钟自动通过。文件验证有时候因为服务器配置问题会卡住，不推荐新手用。

审核通过后就是下载证书。阿里云会给你几个文件：.pem格式的证书链、.key私钥，还有.pfx格式的。Nginx用.pem和.key，Tomcat或者IIS用.pfx。下载页面上有详细的部署指引，按服务器类型点进去照着做就行。我见过有人把.pem和.key搞反了，Nginx启动直接报错，排查半天。其实文件名字写得很清楚，key就是私钥，别搞混。

部署完记得用openssl s_client -connect yourdomain:443测一下，或者直接浏览器访问看锁头图标。有个朋友部署完发现还是不安全，查了半天是CDN那边没更新证书，源站更新了但边缘节点还挂着旧的。如果你用了阿里云CDN或者SLB，证书上传到对应服务里，别只在ECS上折腾。

续费这事得单独说。免费证书三个月一续，阿里云会在到期前30天发邮件提醒，但邮件经常进垃圾箱。建议在手机日历上设个提醒，提前一周操作。付费证书一年一续，到期不续网站照样红。有个客户觉得续费麻烦，直接买了三年期的，省事，但价格上没比一年期划算多少，看个人取舍。

最后说个真实案例。上个月有个做独立站的朋友，证书过期后没管，结果Google搜索结果显示“不安全”，流量掉了四成。他以为要重新备案或者换服务器，急得不行。我让他去阿里云重新申请一张免费证书，DNS验证，下载部署，前后不到二十分钟，网站恢复绿色锁头。他感慨说早知道这么简单，何必拖一周。所以别把SSL证书申请想得太复杂，阿里云这套流程已经算很顺了，关键是要动手试一次。