我上个月刚帮朋友的书免公司省下三千块。他们官网要上HTTPS，费申咨询了一圈服务商，书免报价从一年八百到三千不等。费申后来我花二十分钟，书免申请了免费证书，费申一分钱没花。书免

免费证书这事儿，费申很多人第一反应是书免“不靠谱”。实际上，费申Let's Encrypt这类免费CA（证书颁发机构）已经运行快十年了，书免全球超过三亿个网站都在用。费申它和付费证书在加密强度上没有本质区别——都是书免TLS 1.3，都是费申2048位以上密钥。区别只在服务：付费证书通常带商业担保和人工客服，书免但大部分个人网站和小企业根本用不上这些。

申请流程比你想象中简单。以最主流的Let's Encrypt为例，核心就三步：验证域名所有权、获取证书、配置到服务器。验证域名这步，现在用DNS验证最省事——你只需要在域名解析里加一条TXT记录。我上次操作，从登录域名面板到证书签发成功，全程不到五分钟。

具体怎么做？假设你的服务器是Nginx，跑的是Ubuntu。SSH登录后，先安装Certbot工具：

sudo apt update sudo apt install certbot python3-certbot-nginx 

然后一条命令自动完成申请和配置：

sudo certbot --nginx -d yourdomain.com 

它会引导你输入邮箱、同意条款，然后自动验证域名、签发证书、修改Nginx配置。全程不需要手动编辑任何配置文件。完事儿后，Certbot还会自动设置定时任务，证书到期前自动续期——免费证书有效期90天，但有了自动续期，你根本不用管。

有人会问，90天有效期是不是太短？这恰恰是安全设计上的进步。短有效期意味着即使私钥泄露，影响窗口也有限。而且自动续期已经成熟，我自己的服务器跑了两年多，从没手动干预过续期。

如果你用的是宝塔面板或cPanel这类图形化管理工具，更简单。宝塔后台直接有“Let's Encrypt”申请按钮，选好域名，点一下，证书就装好了。整个过程图形化，连命令行都不用碰。

唯一需要留意的是，免费证书不支持通配符（就是那个 *.yourdomain.com 的泛域名证书）。如果你有几十个子域名都要上HTTPS，用Let's Encrypt需要逐个申请，稍显繁琐。不过好在Certbot支持自动发现Nginx配置里的所有域名，批量申请也只是多等几分钟的事。

还有个坑得提醒你：有些老教程教你用HTTP验证方式，需要在网站根目录放一个随机文件。这种方法现在依然可用，但如果你用了CDN或负载均衡，验证请求可能被缓存或转发到错误节点，导致验证失败。所以新项目我建议直接用DNS验证，绕开所有网络层问题。

免费证书到底省不省钱？拿我朋友那个案例说，他们公司网站日活不过千人，付费证书提供的商业担保根本用不上。省下的三千块，够买一台入门级云服务器跑一年。这账怎么算都划算。

当然，如果你做的是银行、电商平台这类对合规要求极高的业务，或者客户明确要求必须显示企业名称的OV/EV证书，那还是得花钱买。但就普通企业官网、个人博客、SaaS应用而言，免费证书完全够用。别被“免费没好货”的惯性思维骗了——在HTTPS证书这件事上，免费往往就是最理性的选择。