网站安全证书是什么

你留意过浏览器地址栏左边那个小锁吗？它背后就是网站安全证书。网站安全证书的正式名字叫SSL/TLS证书，可以理解成网站的一张电子身份证，也是一把只有网站和访问者能用的临时钥匙。它干三件事：证明你访问的域名确实是这家网站，把浏览器和服务器之间传输的内容加密，防止数据在半路被偷看或篡改。没有它，登录密码、订单信息、聊天内容在公网上裸奔；有了它，地址栏会显示https，默认走443端口，而不是http的80端口。

证书本身是一小段数字文件，里面写着域名、公钥、有效期、签发机构，以及签发机构对这串信息的数字签名。浏览器内置了一批受信任的根证书，访问https网站时，会顺着服务器发来的证书链往上查，确认签发机构可信、域名对得上、证书没过期、没有被吊销。任何一项不对，浏览器就会弹警告，甚至直接拦住页面。你看到“证书已过期”或“此连接不是私密连接”，多半就是这些检查没通过。

加密过程不是拿证书里的公钥把所有内容都加密一遍，那样太慢。实际握手时，浏览器和服务器先用非对称加密协商出一把临时对称密钥，后面的网页内容用这把密钥加密传输。TLS 1.3在2018年成为正式标准，握手更快，默认配置也更安全。证书里的公钥主要用来做身份验证和密钥交换，真正传大量数据靠的是对称加密。这样既安全，速度也能接受。

证书由CA签发。CA就是证书颁发机构，它要确认申请者确实控制着那个域名。只验证域名控制权的叫DV证书，免费证书大多是这种，Let''s Encrypt从2015年开始提供，有效期90天，靠ACME协议自动续期。再往上有OV证书，会额外核验企业身份；EV证书验证更严，早年浏览器会在地址栏显示公司名，后来Chrome、Safari等陆续取消了这种特殊展示，现在EV和OV在普通用户眼里差别没那么大。按覆盖范围分，还有单域名证书、通配符证书和多域名证书，通配符能覆盖一个主域下的一级子域，多域名证书可以在一张证书里放多个不同域名。

申请流程并不神秘。网站管理员在服务器上生成私钥和CSR，CA通过DNS记录、文件上传或HTTP请求验证域名归属，签发后把证书装到服务器上，配好中间证书，再把http访问重定向到https。公共证书有效期现在最长398天，这是CA/B论坛定下的规则，所以续期自动化很重要，不然一过期，用户看到的就是拦截页。很多运维事故不是被攻破，而是忘了续证书。

需要说清楚的是，有证书不等于网站可信。钓鱼网站也能申请免费DV证书，照样显示小锁。锁只说明连接是加密的，不说明背后的人靠谱。看到小锁还要看域名拼写对不对，别把“paypa1”当成“paypal”。另外，https页面里如果混着http图片或脚本，浏览器会提示混合内容，严重的会直接阻止加载。证书也不能防服务器被黑、防不了木马，它解决的是传输安全和身份确认，不是网站内容审查。

所以，网站安全证书不是装饰，也不是大网站才用得起的奢侈品。它让数据在公网上走一条加密隧道，让浏览器能确认“我连的是不是这个域名”。对普通用户来说，认准https和正确域名；对网站运营者来说，选合适类型、及时续期、配好重定向和HSTS，比单纯追求高级证书更实在。