先在空间正确配置ssl证书

上周帮一个做跨境电商的先空朋友排查问题，他的间正独立站突然在Chrome上显示“您的连接不是私密连接”，客户跑了一半。确配服务器没动过，置s证书代码没改过，先空最后发现是间正SSL证书过期了。他以为在CDN后台点一下“自动续期”就万事大吉，确配结果那个开关根本没生效。置s证书这事让我觉得，先空有必要把“在空间里正确配置SSL证书”这件事拆开讲清楚——不是间正申请完证书就完了，配置环节才是确配最容易翻车的地方。

先搞清楚你用的置s证书“空间”到底是什么。虚拟主机、先空VPS、间正云服务器、确配容器、CDN回源，每种环境配置SSL的逻辑都不一样。虚拟主机通常有面板（cPanel、宝塔、Plesk），你上传证书文件或者粘贴证书内容就行。VPS和云服务器要自己改Nginx或Apache的配置文件。容器里跑的服务，证书要么挂载进去，要么用Ingress控制器统一管理。CDN则是把证书部署在边缘节点，回源那一段可以单独再配。很多人出错，是因为把虚拟主机的操作习惯带到了VPS上，或者反过来。

证书文件本身有三个东西：公钥证书（.crt或.pem）、私钥（.key）、中间证书（ca-bundle或chain）。少一个都可能让浏览器不信任。我见过有人只上传了.crt，没传中间证书，桌面浏览器正常，但安卓微信内置浏览器直接报错。原因是安卓的证书链验证更严格。正确做法是把公钥证书和中间证书合并成一个文件，顺序是：你的域名证书在前，中间证书在后。私钥单独放，权限设成600，别让其他用户读到。

Nginx的配置大概长这样：

server {  listen 443 ssl http2; server_name example.com; ssl_certificate /etc/ssl/fullchain.pem; ssl_certificate_key /etc/ssl/private.key; ssl_protocols TLSv1.2 TLSv1.3; ssl_ciphers HIGH:!aNULL:!MD5; }

注意ssl_certificate指向的是合并后的fullchain.pem，不是单独的域名证书。ssl_certificate_key指向私钥。改完先跑nginx -t，别急着重启。我吃过亏，配置写错直接reload，Nginx没起来，线上服务全挂。测试通过再systemctl reload nginx，reload比restart温和，不会断掉现有连接。

Apache稍微不同，用SSLCertificateFile指向公钥证书，SSLCertificateKeyFile指向私钥，SSLCertificateChainFile指向中间证书。Apache 2.4.8之后可以把中间证书直接追加到公钥证书文件里，不用单独指定ChainFile。但老版本还是分开写更稳。

还有一个坑：HTTP跳HTTPS。配置完443端口，别忘了80端口要重定向。Nginx里加一个server块监听80，然后return 301 https://$host$request_uri;。有人只配了HTTPS，用户输域名默认走HTTP，直接打不开，还以为是证书问题。

证书续期这件事，Let's Encrypt的certbot可以自动搞定，但前提是你得把续期后的重载命令写对。certbot的--deploy-hook里加上systemctl reload nginx，否则证书更新了，Nginx还在用内存里的旧证书。我那个朋友就是吃了这个亏，certbot明明续期成功了，但服务没重载，浏览器看到的还是过期证书。

最后说一个观察：很多人把SSL配置当成一次性任务，配完就不管了。实际上证书有效期越来越短，Let's Encrypt已经默认90天，未来可能更短。把续期和重载做成自动化，比手动记日期靠谱得多。配置的时候多花十分钟检查证书链和重载钩子，比出事之后半夜爬起来修要划算。

很赞哦!（59162）