昨天帮朋友处理一个博客，他坚持要加 SSL 证书，说“浏览器地址栏没那个小锁，读者会觉得是钓鱼网站”。我问他预算多少，他说零。我愣了一下，然后打开终端敲了 certbot --nginx。十分钟后，小锁亮了。他问：“花了多少钱？”我说：“电费算不算？”

这就是 HTTPS 免费的现状——不是“勉强能用”，而是“好用且自动”。Let's Encrypt 从 2015 年上线到现在，签发了超过 30 亿张证书。我自己的几个小破站，证书到期前 30 天会收到邮件，系统自动续期，我甚至不用登录服务器。免费的东西做到这个份上，有点反常识。

说个具体的。去年帮一个做手工皂的姐姐迁移网站。她原来用某宝买的 99 元/年证书，每年手动上传，过期了网站就红彤彤一片。我给她换成 Let's Encrypt + Caddy。Caddy 这个 Web 服务器有个特点——默认自动 HTTPS，配置文件里写个域名就行，别的它全包了。她后来发微信说：“那个锁再也没红过。”我回：“你甚至不用知道它怎么绿的。”

免费证书的生态其实分几层。最底层是 Let's Encrypt 和 ZeroSSL 这类 ACME 服务商，它们提供 90 天有效期的 DV 证书。往上，是 certbot、acme.sh、lego 这些客户端工具，负责跟服务商打交道、验证域名、部署证书。再往上，是 Caddy、Traefik、Nginx Proxy Manager 这些带自动 HTTPS 的服务器或面板，把复杂度吃掉了。普通用户碰到的其实是第三层——你只需要知道“点一下，锁就绿了”。

我自己有个 VPS 跑着几个小服务。用 acme.sh，一条命令 acme.sh --issue -d example.com --nginx，剩下的它自己搞。续期是 cron 任务，静默执行。有次我手贱把 .acme.sh 目录删了，第二天收到邮件说证书 7 天后过期。重新跑一遍命令，三分钟恢复。这种“坏了也能快速修好”的体验，比很多付费服务都踏实。

当然，免费有边界。OV 和 EV 证书还是要钱，因为要人工核验企业身份。但 99% 的个人网站、博客、API 端点，DV 证书完全够用。浏览器地址栏显示的都是同样的锁，用户不会点开看你是 DV 还是 EV。我甚至觉得，那些卖 DV 证书的厂商，定价逻辑已经站不住了——Let's Encrypt 把“安全”这件事变成了默认选项，而不是增值服务。

有个细节挺有意思。Let's Encrypt 的证书有效期只有 90 天，官方说法是“鼓励自动化”。这招很聪明——逼着你写脚本、用工具，而不是每年手动续一次然后忘掉。结果就是整个生态的自动化水平被拉高了。现在你跟我说要手动上传证书，我会觉得你在用拨号上网。

最后说个踩坑经历。有次在一台老 CentOS 7 上装 certbot，Python 版本太旧，pip 报了一堆错。折腾半小时后，我直接换了 acme.sh——纯 shell 脚本，不依赖 Python。所以“免费”的另一个好处是：选择多。这个工具不行就换那个，总有一款能跑在你的破服务器上。

小锁绿了，网站就安全了吗？不一定。HTTPS 只解决传输层加密，不代表网站本身没漏洞。但至少，你迈过了那道最基础的坎。而且没花钱。