阿里云SSL证书全流程指南：从申请到Nginx/Tomcat/IIS生产级部署

apphuang2026年06月25日 21:24:502

前言：为什么你的网站需要HTTPS

在当今互联网环境中，网站安全性已成为用户信任的基石。HTTP协议以明文方式传输数据，面临着信息泄露、内容篡改、中间人攻击等严重安全风险。主流浏览器会对未启用HTTPS的网站标记为“不安全”，直接影响用户访问意愿和搜索引擎排名。为Web服务器配置HTTPS证书，不仅能够加密数据传输、保障用户隐私安全，还能提升网站的专业形象和SEO权重。

SSL（Secure Sockets Layer）及其后继者TLS（Transport Layer Security）是一种加密协议，用于在客户端与服务器之间建立安全的通信通道。SSL证书由CA（证书颁发机构）签发，包含网站的公钥、域名信息、颁发机构及有效期等数据。当用户通过HTTPS访问网站时，浏览器会验证证书的合法性，并与服务器协商加密密钥，从而确保数据传输的机密性和完整性。

需要先登录阿里云控制台，点击：阿里云控制台

第一章：阿里云SSL证书类型与选型

阿里云数字证书管理服务（原SSL证书服务）提供多种类型的SSL证书。理解不同类型证书的差异是做出正确选型的第一步。

1.1 个人测试证书（免费版）

由DigiCert颁发，为DV（域名验证型）单域名证书。每个阿里云账号在一个自然年内可免费领取20张，有效期90天（3个月）。适合个人博客、开发测试环境等非生产场景。免费版SSL证书到期后不支持续费，需要重新申请。

1.2 个人测试证书（Pro）

付费版本，有效期12个月，提供更长的证书周期和更多的技术支撑。

1.3 正式证书

包括DV、OV（组织验证型）、EV（扩展验证型）等多种级别，支持单域名、多域名和通配符域名，有效期通常为1年。适用于企业官网、电商平台、金融系统等对安全要求较高的生产环境。

  • DV证书：仅验证域名所有权，签发速度快（1~15分钟），价格较低。
  • OV证书：需要验证企业真实性，证书中显示企业信息，签发时长约5个自然日。
  • EV证书：最高级别验证，提供最高信任度，签发时长约5个自然日。

对于大多数个人站长和中小企业，个人测试证书（免费版）已能满足基本的HTTPS加密需求。如需更长的有效期或更高的安全级别，可考虑购买付费证书。

第二章：申请SSL证书前的准备工作

在申请SSL证书之前，需要完成以下准备工作：

  • 已完成阿里云账号的实名认证
  • 拥有一个已备案的域名（如服务器位于中国内地）
  • 域名已添加DNS解析记录，指向服务器的公网IP地址
  • 已在服务器安全组中放行443端口

2.1 域名解析配置

域名解析是证书申请和后续访问的基础。需要在域名注册商或DNS服务商处，为证书绑定的域名添加A记录，指向部署证书的服务器公网IP。对于泛域名证书（如*.example.com），需要确保DNS解析能够正确解析所有子域名。

2.2 安全组443端口开放

443端口是HTTPS通信的标准端口。如果使用阿里云ECS服务器，必须确保安全组规则入方向已添加TCP 443端口。操作路径：ECS控制台 > 网络与安全 > 安全组 > 配置规则 > 入方向 > 添加安全组规则。协议类型选择TCP，端口范围填写443/443，授权对象填写0.0.0.0/0（或根据实际需要限制来源IP）。

第三章：申请SSL证书的完整流程

3.1 进入数字证书管理服务控制台

登录阿里云控制台，在顶部搜索框输入“SSL证书”或“数字证书管理服务”，进入证书管理页面。

3.2 领取免费证书额度（以个人测试证书为例）

在左侧导航栏选择“证书管理”>“SSL证书管理”，点击“个人测试证书（原免费证书）”页签，然后点击“立即购买”。在购买面板中保持默认选项，勾选服务协议后完成0元支付。

3.3 创建证书并提交申请

在个人测试证书页面点击“创建证书”，填写证书绑定域名（如www.example.com）。选择验证方式，通常有两种：

  • 自动DNS验证：如果域名在阿里云DNS解析，系统会自动添加TXT解析记录完成验证，最为便捷。
  • 手动DNS验证：需要在域名解析服务商处手动添加CA机构提供的TXT记录，等待解析生效后完成验证。

提交申请后，CA机构会进行域名所有权验证。DV证书通常在1~15分钟内签发。证书签发后，状态会变为“已签发”。

3.4 购买正式证书（如需要）

对于需要OV或EV证书的生产环境，需在证书管理页面选择“正式证书”进行购买。购买流程包括：选择证书类型和订阅时长、填写域名信息、提交企业资质文件（OV/EV证书）、等待CA机构审核签发。

第四章：证书下载与文件准备

证书签发后，需要在SSL证书管理页面下载证书文件。在目标证书操作列单击“更多”进入证书详情页面，然后在“下载”页签中选择对应的服务器类型进行下载。

4.1 Nginx服务器证书文件

下载服务器类型为Nginx的证书，解压后得到两个文件：

  • 证书文件（.pem）：包含服务器证书和中级CA证书的完整证书链
  • 私钥文件（.key）：服务器的私钥，需妥善保管

如果申请证书时使用OpenSSL、Keytool等工具生成CSR文件，私钥文件仅保存在本地，下载的证书包中不包含私钥。如私钥遗失，证书将无法使用，需重新购买证书并生成CSR和私钥。

4.2 Tomcat服务器证书文件

下载服务器类型为Tomcat的证书，解压后包含：

  • 证书文件（.pfx或.jks）：包含证书和私钥的密钥库文件
  • 证书密码文件（.txt）：记录密钥库的访问密码

JKS是Java专用的密钥库格式，适合主要在Java环境下使用。PFX（PKCS12）是一种通用格式，被Java及其他平台广泛支持，如果需要跨不同技术栈或与非Java系统集成，建议选择PFX格式。

4.3 IIS服务器证书文件

下载服务器类型为IIS的证书，解压后得到：

  • 证书文件（PFX格式）：包含证书和私钥
  • 密码文件（TXT格式）：记录PFX文件的访问密码

每次下载证书时都会产生新的密码，该密码仅匹配本次下载的证书文件。如果下载的是.pem格式证书，需要通过证书工具转换为PFX格式。

第五章：Nginx服务器部署SSL证书

Nginx是目前最流行的Web服务器之一，部署SSL证书的流程相对标准化。

5.1 上传证书文件到服务器

将解压后的证书文件（.pem）和私钥文件（.key）上传至服务器，建议存放在一个安全的外部目录，如 /etc/ssl/cert 目录。可以使用远程登录工具的本地文件上传功能，如PuTTY、Xshell或WinSCP等工具。如果是阿里云ECS，也可通过Workbench远程连接上传文件。

5.2 配置Nginx SSL

编辑Nginx配置文件（通常位于 /etc/nginx/nginx.conf 或 /etc/nginx/conf.d/ 目录下），添加监听443端口的server块。以下是一个完整的HTTPS配置示例：

server {
    listen 443 ssl http2;
    server_name www.example.com;

    ssl_certificate /etc/ssl/cert/your_domain.pem;
    ssl_certificate_key /etc/ssl/cert/your_domain.key;

    ssl_protocols TLSv1.2 TLSv1.3;
    ssl_ciphers HIGH:!aNULL:!MD5;
    ssl_prefer_server_ciphers on;
    ssl_session_cache shared:SSL:10m;
    ssl_session_timeout 10m;

    root /var/www/html;
    index index.html index.htm;

    location / {
        try_files $uri $uri/ =404;
    }
}

server {
    listen 80;
    server_name www.example.com;
    return 301 https://$server_name$request_uri;
}

配置说明：

  • listen 443 ssl http2：监听443端口，启用SSL和HTTP/2协议
  • ssl_certificate：指定证书文件（.pem）的路径
  • ssl_certificate_key：指定私钥文件（.key）的路径
  • ssl_protocols：指定TLS协议版本，建议只启用TLSv1.2和TLSv1.3
  • ssl_ciphers：指定加密套件
  • 第二个server块用于将HTTP流量重定向到HTTPS

5.3 验证配置文件并重启Nginx

配置完成后，执行以下命令验证配置文件语法是否正确：

nginx -t

如果输出“syntax is ok”和“test is successful”，说明配置无误。然后重启Nginx使配置生效：

systemctl restart nginx
# 或
service nginx restart

5.4 验证HTTPS是否生效

在浏览器中输入 https://你的域名，查看地址栏是否显示安全锁图标。也可以使用以下命令测试：

curl -I https://你的域名

检查返回的HTTP状态码是否为200，以及响应头中是否包含Server和Content-Type等信息。

第六章：Tomcat服务器部署SSL证书

Tomcat作为Java应用服务器，部署SSL证书需要修改server.xml配置文件。

6.1 上传证书文件到服务器

将解压后的证书文件（.pfx或.jks）和密码文件（.txt）上传至服务器，建议存放在安全目录如 /etc/ssl/cert。为确保密钥安全，建议在上传后设置严格的文件权限，只允许Tomcat运行用户读取。

6.2 配置Tomcat SSL Connector

编辑Tomcat配置文件 server.xml（通常位于 $CATALINA_HOME/conf/server.xml）。根据证书格式不同，配置方式略有差异。

PFX格式配置示例（Tomcat 9.0）：

<Connector port=\"443\"
           protocol=\"org.apache.coyote.http11.Http11NioProtocol\"
           maxThreads=\"150\"
           SSLEnabled=\"true\"
           scheme=\"https\"
           secure=\"true\"
           keystoreFile=\"/etc/ssl/cert/your_domain.pfx\"
           keystoreType=\"PKCS12\"
           keystorePass=\"你的证书密码\"
           clientAuth=\"false\"
           sslProtocol=\"TLS\" />

JKS格式配置示例（Tomcat 9.0）：

<Connector port=\"443\"
           protocol=\"org.apache.coyote.http11.Http11NioProtocol\"
           maxThreads=\"150\"
           SSLEnabled=\"true\"
           scheme=\"https\"
           secure=\"true\"
           keystoreFile=\"/etc/ssl/cert/your_domain.jks\"
           keystoreType=\"JKS\"
           keystorePass=\"你的证书密码\"
           clientAuth=\"false\"
           sslProtocol=\"TLS\" />

配置说明：

  • port：HTTPS监听端口，通常为443
  • protocol：使用NIO协议处理HTTPS请求
  • keystoreFile：证书文件的绝对路径
  • keystoreType：密钥库类型，PFX对应PKCS12，JKS对应JKS
  • keystorePass：证书密码文件（.txt）中的密码
  • clientAuth：是否要求客户端认证，通常设为false

6.3 重启Tomcat并验证

保存配置后重启Tomcat：

systemctl restart tomcat
# 或
$CATALINA_HOME/bin/shutdown.sh
$CATALINA_HOME/bin/startup.sh

在浏览器中访问 https://你的域名:443 进行验证。如果Tomcat的HTTP连接器原本监听8080端口，建议配置HTTP到HTTPS的重定向，可在web.xml中添加安全约束，或在server.xml中将8080端口的Connector配置重定向到443端口。

第七章：IIS服务器部署SSL证书

IIS（Internet Information Services）是Windows平台的主流Web服务器。

7.1 上传证书文件到服务器

将下载的PFX证书文件和密码文件上传至Windows服务器。可以通过远程桌面连接服务器，使用Workbench或其他方式传输文件。

7.2 导入证书到Windows证书存储

有两种方式可以将PFX证书导入Windows证书存储：

方式一：通过MMC管理控制台

  1. 按下 Win+R，输入 mmc，点击“确定”
  2. 点击“文件”>“添加/删除管理单元”
  3. 选择“证书”，点击“添加”
  4. 选择“计算机帐户”，点击“下一步”
  5. 选择“本地计算机”，点击“完成”
  6. 在控制台根节点中展开“证书（本地计算机）”>“个人”>“证书”
  7. 右键点击“证书”，选择“所有任务”>“导入”
  8. 按照向导选择PFX文件，输入密码，将证书放入“个人”存储区

方式二：直接双击PFX文件

  1. 双击PFX证书文件
  2. 在证书导入向导中点击“下一步”
  3. 选择“本地计算机”，点击“下一步”
  4. 输入密码，点击“下一步”
  5. 选择“将所有的证书放入下列存储”，选择“个人”
  6. 点击“完成”

7.3 在IIS管理器中为网站绑定SSL证书

证书导入完成后，需要在IIS管理器中为网站绑定证书：

  1. 打开IIS管理器（Win+R，输入 inetmgr）
  2. 在左侧连接栏中展开服务器节点，点击“网站”
  3. 在中间区域找到需要绑定证书的网站，右键点击选择“编辑绑定”
  4. 点击“添加”按钮
  5. 类型选择“https”，端口填写“443”
  6. 主机名填写证书绑定的域名（如 www.example.com）
  7. SSL证书下拉框中选择刚刚导入的证书
  8. 勾选“需要服务器名称指示（SNI）”，建议勾选
  9. 点击“确定”保存设置

7.4 验证HTTPS是否生效

在浏览器中输入 https://你的域名，查看地址栏是否显示安全锁图标。如果配置了HTTP重定向，可以在IIS的URL重写模块中添加规则，将所有HTTP请求重定向到HTTPS。

第八章：证书格式转换

在实际部署过程中，可能会遇到证书格式不匹配的情况。阿里云数字证书管理服务提供了SSL证书格式转换工具，支持PEM与PFX、PEM与JKS、PEM与PKCS8格式间的转换。

此外，也可以使用OpenSSL和Keytool命令行工具手动转换：

PEM转PFX（PKCS12）：

openssl pkcs12 -export -out certificate.pfx -inkey private.key -in certificate.pem -certfile cacert.pem

PFX转PEM：

openssl pkcs12 -in certificate.pfx -out certificate.pem -nodes

PEM转JKS（使用Keytool）：

keytool -importkeystore -srckeystore certificate.pfx -srcstoretype PKCS12 -destkeystore certificate.jks -deststoretype JKS

需要注意的是，格式转换过程中私钥的安全至关重要。转换后的文件应妥善保管，设置严格的文件权限，避免私钥泄露。

第九章：常见部署问题与解决方案

9.1 443端口无法访问

HTTPS通信使用443端口。如果443端口被阻塞，浏览器无法建立安全连接。检查步骤：

  1. 在服务器上执行 netstat -tlnp | grep 443 或 ss -tlnp | grep 443，确认443端口正在监听
  2. 如果使用阿里云ECS，检查安全组规则是否放行443端口
  3. 检查服务器防火墙（如iptables、firewalld、Windows防火墙）是否放行443端口

可以使用以下命令测试443端口的连通性：

nc -w 3 -vz 服务器公网IP 443

如果输出“Connected to”，说明端口已开放。

9.2 证书链不完整

证书链不完整是导致浏览器提示“证书不受信任”的常见原因。SSL证书由服务器证书、中间CA证书和根CA证书组成。在Nginx配置中，.pem文件应包含完整的证书链（服务器证书+中间CA证书）。如果.pem文件只包含服务器证书，需要将中间CA证书附加到文件末尾。

9.3 私钥权限问题

Nginx和Tomcat进程需要读取私钥文件的权限。如果私钥文件权限过于严格（如仅root可读），Web服务器进程可能无法读取。建议将私钥文件权限设置为600（仅所有者可读写），所有者为Web服务器运行用户。

chmod 600 /etc/ssl/cert/your_domain.key
chown nginx:nginx /etc/ssl/cert/your_domain.key

9.4 证书与域名不匹配

浏览器会验证证书中的域名与实际访问的域名是否一致。确保证书绑定的域名与访问的URL完全匹配。对于泛域名证书（*.example.com），可以匹配所有一级子域名，但不匹配根域名和多级子域名。

9.5 证书过期问题

个人测试证书（免费版）有效期为90天，到期后不支持续费，需要重新申请。建议在证书到期前30天左右重新申请并部署新证书。付费证书有效期通常为1年，可在到期前进行续费。

9.6 HTTP到HTTPS的重定向

部署HTTPS后，建议将所有HTTP流量重定向到HTTPS，避免用户访问到不安全的HTTP版本。Nginx可以通过return 301指令实现，Tomcat可以在web.xml中添加安全约束或通过server.xml配置重定向，IIS可以通过URL重写模块实现。

第十章：安全加固与最佳实践

10.1 禁用不安全的TLS协议版本

SSLv2、SSLv3、TLSv1.0和TLSv1.1存在已知安全漏洞，应在配置中禁用。建议只启用TLSv1.2和TLSv1.3。

10.2 使用强加密套件

选择支持前向保密（Perfect Forward Secrecy）的加密套件，如ECDHE系列。避免使用已破解的加密套件（如RC4、3DES）。

10.3 定期更新证书

建立证书到期提醒机制，提前30天准备新证书的申请和部署。对于免费证书，可以在日历中设置90天的提醒周期。

10.4 监控HTTPS服务状态

部署完成后，建议配置监控告警，当HTTPS服务不可用或证书即将到期时及时通知运维人员。可以使用阿里云云监控或其他第三方监控工具。

结语

本文系统梳理了阿里云SSL证书从选型、申请到在Nginx、Tomcat、IIS三大Web服务器上部署的完整技术流程。HTTPS加密已成为现代网站的标配，不仅保护用户数据安全，也提升网站的专业形象和搜索引擎排名。无论是个人博客还是企业级应用，正确配置SSL证书都是Web安全的基础环节。希望本文能够帮助读者顺利完成SSL证书的申请与部署，为网站筑牢安全防线。

常见问题解答

问：免费SSL证书和付费SSL证书有什么区别？
答：免费证书为DV（域名验证型）单域名证书，有效期90天，适合个人博客和测试环境。付费证书包括OV（组织验证型）和EV（扩展验证型），有效期通常为1年，支持多域名和通配符，适用于企业官网、电商平台等生产环境。

问：证书申请后多久可以签发？
答：DV证书采用自动域名验证，通常1~15分钟即可签发。OV和EV证书需要人工审核企业资质，签发时长约5个自然日。

问：部署SSL证书后，原有的HTTP网站还能访问吗？
答：可以。HTTP（80端口）和HTTPS（443端口）可以同时存在。建议配置HTTP到HTTPS的301永久重定向，将所有流量导向加密版本。

问：Nginx配置SSL证书后报错“cannot load certificate key”怎么办？
答：通常是因为私钥文件路径错误、私钥文件权限不足（需确保Web服务器进程有读取权限）、或私钥与证书不匹配。检查路径是否正确，执行chmod 600设置权限，并确认.pem和.key来自同一张证书。

问：Tomcat部署PFX证书时提示密码错误？
答：确保证书密码文件（.txt）中的密码没有多余的空格或换行符。如果密码包含特殊字符，在server.xml的keystorePass属性中需要进行XML转义。

问：IIS绑定证书时找不到已导入的证书怎么办？
答：可能是证书未导入到正确的存储区。确保将证书导入到“本地计算机”的“个人”存储区，而不是“当前用户”的“个人”存储区。如果仍然找不到，可以在MMC中检查证书是否确实存在于“证书（本地计算机）>个人>证书”路径下。

相关文章

买阿里云服务器能便宜吗？十年代理揭秘 3 大省钱攻略！

买阿里云服务器能便宜吗？十年代理揭秘 3 大省钱攻略！

作为深耕阿里云代理领域 10 年的 “老司机”，经常被问到：“买阿里云服务器能便宜吗？有没有优惠价格？” 今天就用实打实的行业经验告诉你：不仅能便宜，选对渠道还能省一大笔！ 这篇文章带你解锁阿里云服务…

做了 10 年腾讯云代理，我想跟你聊聊返佣那些事儿​

做了 10 年腾讯云代理，我想跟你聊聊返佣那些事儿​

最近总有朋友问我：“腾讯云有返点吗？腾讯云服务器能拿佣金不？返佣比例到底有多少？” 作为一个在腾讯云代理行业摸爬滚打了 10 年的 “老人”，今天就来跟大家好好…

阿里云代理商返佣机制深度解析：头部代理优势与企业合作策略

阿里云代理商返佣机制深度解析：头部代理优势与企业合作策略

阿里云代理商的核心价值定位1. 代理商的角色与职责阿里云代理商作为阿里云生态的核心合作伙伴，承担着双重核心职能：• 产品销售：负责推广销售阿里云全系列云产品，包括云服务器ECS、云数据库RDS、对象存…

阿里云代理商返佣机制深度解析：头部代理优势与企业合作策略

阿里云代理商返佣机制深度解析：头部代理优势与企业合作策略

01一、阿里云代理商的核心价值定位1. 代理商的角色与职责阿里云代理商作为阿里云生态的核心合作伙伴，承担着双重核心职能：• 产品销售：负责推广销售阿里云全系列云产品，包括云服务器ECS、云数据库RDS…

阿里云代理商有哪些？阿里云代理返点是真的么？

阿里云代理商有哪些？阿里云代理返点是真的么？

一，阿里云代理商基本介绍阿里云代理商通俗一点，就是指从事阿里云云服务器，云数据库等阿里云公有云产品销售的代理商，每销售一件阿里云公有云产品出去，阿里云给予该代理商一定比例的提成。在阿里云官方定义中，这…

2026阿里云代理商生态全解析：五级代理体系、返佣政策与企业上云指南

2026阿里云代理商生态全解析：五级代理体系、返佣政策与企业上云指南

一、阿里云五级代理体系：权益阶梯与合作价值1. 五级代理的核心权益差异阿里云构建了多层次的代理生态体系，涵盖全国总代理、区域核心代理、行业ISV（独立软件开发商）、金牌/银牌认证代理及标准代理五大核心…

上海汪远信息科技有限所在公司从事多年公有云和电子签代理，能持续为用户提供商务价值和技术支持，目前从事的代理有：阿里云，腾讯云，华为云，火山云，天翼云，移动云，亚马逊云，谷歌云，微软云，腾讯电子签，法大大电子签，爱签电子签等！

网站备案号：沪ICP备15020509号-2 公安备案号：沪公网安备31011202008721号