导语：地址栏的"不安全"三个字，是网站最劝退的瞬间。SSL 证书就是解决它的那把锁——而且，可以免费拿到。
上一篇文章我们给网站配好了域名和备案，但你打开自己的网站，地址栏却写着"不安全"。访客看一眼就走了。
别慌，这不是你网站坏了，是还差最后一步：HTTPS。 这篇把三件事讲透：为什么要加、怎么免费申请、到期了怎么办。
一、为什么浏览器提示"不安全"
你的网站现在用的是 HTTP——它传数据是"明文"的，就像寄明信片：沿途每一站都能看到内容。
HTTPS = HTTP + 加密，相当于把明信片装进带锁的快递箱：中途谁也看不见、改不了。浏览器看到网站没有 HTTPS，就亮"不安全"警告。
具体一点，明文传输有三个风险：
| 风险 | 明信片比喻 | 实际后果 |
|---|---|---|
| 被窃听 | 内容被人看了 | 密码、聊天内容泄露 |
| 被篡改 | 内容被人改了 | 页面被植入广告、木马 |
| 被冒充 | 地址被人顶替 | 钓鱼网站伪装成你 |
经验：现在主流浏览器对 HTTP 网站越来越不客气，警告越给越明显。个人网站哪怕没有登录功能，也要上 HTTPS——访客信任、搜索排名也受益。
二、SSL 证书到底干什么
SSL 证书就是那把"锁"的钥匙证明，它做两件事：
- 加密传输：你和服务器之间的数据加密，别人看不懂。
- 身份验证：证明"这个网站真的是它说的那个网站"，不是假冒的。
申请证书时，机构（CA）会验证"你确实拥有这个域名"，然后发一张证书给你；浏览器看到证书，确认锁是有效的，才显示"小锁"图标。
经验：免费证书和付费证书，对访客来说效果一样——浏览器都认，都显示小锁。付费的差异主要在"更长的有效期、通配符域名、企业认证标识"，个人网站用免费的就够。
三、免费证书怎么申请
两条路，都免费：
路线一：Let's Encrypt + Certbot（推荐）
Let's Encrypt 是全球最大的免费证书机构，配合 Certbot 工具，一条命令就能申请并自动装好：
sudo certbot --nginx
它会自动检测你的网站、申请证书、改好配置。几分钟后刷新网站，小锁就出现了。
路线二：云厂商免费证书
阿里云、腾讯云等都有免费证书额度（具体数量以官网为准）。在控制台申请，验证域名后下载，再手动配到服务器上。适合不想装命令行工具的人。
| 对比 | Let's Encrypt | 云厂商免费证书 |
|---|---|---|
| 申请方式 | 命令行一条命令 | 网页控制台 |
| 有效期 | 通常 90 天，可自动续期 | 按厂商规则，以官网为准 |
| 自动续期 | 配置后全自动 | 到期要手动重新申请 |
| 适合人群 | 想省心、配一次不管 | 习惯网页操作 |
经验：两条路都能用，但强烈建议走 Let's Encrypt——因为它能自动续期，配好之后你几乎不用再管它。
四、到期了怎么办
证书都有有效期（Let's Encrypt 通常 90 天）。到期不换，浏览器会重新亮"不安全"，网站等于"锁坏了"。
所以最关键的一步是让续期自动化：
sudo certbot renew --dry-run # 先测试续期能不能成功
配合系统的定时任务（cron），Certbot 会在到期前自动续期并重载服务。配好之后，证书到期这件事就再也不用你操心了。
三个高频坑：
- 只申请、没配自动续期：到期那天网站突然"不安全"，你自己都不知道——申请完第一件事就是测
renew --dry-run。 - 续期成功了但网站还报错：续期后要重载服务器（Nginx）配置，命令没执行等于没换。
- 域名解析换了：证书绑定域名，域名解析变动后要重新验证，别以为一劳永逸。
五、自签名证书是什么
还有一种证书叫自签名证书——你自己给自己发的"锁"。
- 能用：加密功能是真的，适合本地测试、内网工具。
- 浏览器不认：因为没有权威机构担保，浏览器会显示红色警告"证书无效"，访客无法正常使用。
- 结论：只适合自己测试，千万别部署到生产网站——访客看到警告比看到"不安全"更慌。
经验：想在生产环境省事，直接走 Let's Encrypt；自签名只在你调试阶段用。
六、HTTP/2 为什么必须配 HTTPS
你可能听过"HTTP/2 更快"——新一代网页协议，页面加载明显提速。但注意：主流浏览器要求 HTTPS 才能启用 HTTP/2，明文 HTTP 只能用旧协议。
也就是说：配上 HTTPS，不只是安全，还是"免费提速"——安全和性能两件事，一次搞定。
总结
- HTTP 是明信片，HTTPS 是带锁快递箱；SSL 证书做加密传输 + 身份验证，访客信任、排名受益。
- 免费证书两条路：Let's Encrypt（推荐，一条命令+自动续期）和云厂商免费额度（以官网为准）。
- 证书会到期，重点是配自动续期：申请完先测
renew --dry-run，续期后记得重载服务。 - 自签名证书只适合测试；HTTP/2 必须 HTTPS，加锁顺便提速。
10 分钟小任务：打开服务器厂商控制台，找到"免费证书"入口，看看申请需要哪些材料；再给你的网站域名记下"到期提醒"清单：域名续费、服务器续费、证书续期三件事，各设一个提醒。下一篇，我们把服务器这间"房子"彻底加固一遍——5 步搞定基础防护。
下一篇：服务器安全加固：别让你的服务器裸奔，5 步搞定基础防护。