打开一个网站，地址栏左边如果是一个小锁图标，网址以 https:// 开头，说明这个网站装了SSL证书；如果显示“不安全”，就是没有装，或者证书出了问题。
现在建站，SSL证书已经是必需品。好消息是基本不用花钱：Hostinger、SiteGround这类主机自带免费证书，用VPS的话，宝塔面板里点几下也能申请到。这些免费证书大部分都来自同一家机构——Let's Encrypt。
这篇文章讲清楚SSL证书是什么、免费证书和付费证书有什么区别，以及普通网站该怎么选。
SSL证书是做什么的？
SSL证书（现在的正式名称是TLS证书，但大家还是习惯叫SSL）主要有两个作用：
- 加密传输：访客在网站上填写的询盘表单、登录密码、付款信息，在浏览器和服务器之间是加密传输的，中途被截获也看不懂；
- 证明身份：证书由受信任的机构（CA，证书颁发机构）签发，浏览器验证通过，才确认“你访问的确实是这个域名的网站”，而不是被人冒充的。
对建站的人来说，还有几个很实际的理由：
- 没有证书，浏览器会提示“不安全”。Chrome在地址栏直接标出来，有的浏览器还会弹出整页的红色警告，访客多半直接关掉；
- 谷歌把HTTPS作为排名因素之一，没有证书的网站在搜索结果里吃亏；
- 很多功能要求HTTPS，比如在线支付、浏览器定位、部分第三方插件和统计代码。
外贸网站面对的是海外客户，一个“不安全”的提示，足以让客户怀疑这家公司是否靠谱。
SSL证书的几种类型
按验证的严格程度，证书分为三种：
| 类型 | 验证内容 | 申请时间 | 价格 | 浏览器显示 |
|---|---|---|---|---|
| DV（域名验证） | 只验证你控制这个域名 | 几秒到几分钟 | 免费到几十美元/年 | 小锁图标 |
| OV（组织验证） | 验证域名 + 企业的真实身份 | 1–3天 | 一般几十到几百美元/年 | 小锁图标，证书详情里有公司名 |
| EV（扩展验证） | 更严格的企业身份审核 | 几天到几周 | 一般几百美元/年起 | 小锁图标，证书详情里有公司名 |
按覆盖的域名范围，又分为：
- 单域名证书：只保护一个域名，比如
example.com和www.example.com； - 多域名证书：一张证书包含多个不同的域名；
- 通配符证书：
*.example.com，覆盖所有一级子域名，比如shop.example.com、blog.example.com。
需要说明一点：早些年EV证书会在地址栏显示绿色的公司名称，现在主流浏览器都已经取消了这个显示。DV、OV、EV在地址栏里看起来完全一样，都只是一个小锁，访客要点开证书详情才能看出区别。
Let's Encrypt是什么？
Let's Encrypt是一个非营利的证书颁发机构，2015年开始提供服务，由互联网安全研究组（ISRG）运营，背后的赞助商包括Mozilla、Google、思科、Cloudflare等公司。它的目标就是让所有网站都能免费用上HTTPS。
它的证书有几个特点：
- 完全免费，不限申请数量；
- 只签发DV证书，支持通配符证书，不提供OV和EV；
- 被所有主流浏览器和操作系统信任，加密强度和付费证书一样；
- 有效期短，目前是90天，需要定期续期。它从一开始就设计成用程序自动申请、自动续期（ACME协议），而不是人工操作。
正因为免费、能自动化，Let's Encrypt成了主机商和服务器面板的首选。现在全球大部分HTTPS网站用的都是它签发的证书。
主机和面板自带的免费证书
Hostinger
Hostinger的主机套餐自带免费SSL证书，域名连接到Hostinger之后会自动安装，后台显示的到期时间是“Never”——这并不是说证书永远不会过期，而是Hostinger会在后台自动续期，你不需要管。Hostinger官方介绍里称之为免费的DV证书，第三方评测普遍认为它来自Let's Encrypt，想确认的话可以点地址栏的小锁查看证书的颁发者。
证书没装上或者装上后仍然提示不安全，处理方法见《Hostinger怎么安装SSL证书？》。
SiteGround
SiteGround所有套餐都带免费的Let's Encrypt证书，在Site Tools的「Security」→「SSL Manager」里安装，到期前30天自动续期。另外它也卖付费的Premium Wildcard通配符证书，普通网站用不到。安装和强制HTTPS的步骤见《SiteGround怎么安装免费SSL证书并强制HTTPS？》。
宝塔面板
在VPS上建站，没有主机商帮你装证书，需要自己申请。宝塔面板内置了Let's Encrypt证书申请，在站点设置的SSL里选择Let's Encrypt，勾选域名就能申请，宝塔会在计划任务里自动续期。宝塔里还能看到“宝塔SSL”“商用证书”等其他渠道，普通网站用Let's Encrypt就可以了。详细步骤见《宝塔面板申请和续期SSL证书》。
Cloudflare
如果网站接入了Cloudflare并开启代理（橙色云朵），Cloudflare会自动给访客那一端提供免费证书。注意这只是访客到Cloudflare这一段，Cloudflare到你的服务器之间还需要源站有证书，加密模式要设为「Full (strict)」，不要用「Flexible」。CDN的基本概念见《什么是CDN？》。
免费证书和付费证书差在哪里？
很多人以为付费证书“更安全”，其实加密强度没有区别。不管是Let's Encrypt的免费证书还是几百美元的EV证书，用的都是同样的加密算法，数据保护的效果一样。
真正的区别在这几个方面：
| 对比 | 免费证书（Let's Encrypt） | 付费证书 |
|---|---|---|
| 加密强度 | 相同 | 相同 |
| 验证类型 | 只有DV | DV、OV、EV都有 |
| 证书里显示公司信息 | 不显示 | OV/EV显示 |
| 有效期 | 90天，自动续期 | 目前最长200天，还会继续缩短 |
| 赔付保障 | 没有 | 有（证书被误签导致损失时赔付） |
| 技术支持 | 社区论坛 | 证书商客服 |
什么时候需要付费证书？
- 招投标、合规审核明确要求OV或EV证书；
- 银行、金融这类需要在证书里展示企业身份的网站；
- 服务器环境无法自动续期，只能手动安装证书。
外贸企业站、产品展示站、博客、一般的WooCommerce商店，用免费的Let's Encrypt就够了。付款环节通常交给PayPal、Stripe这类支付平台处理，用不到你网站上的OV、EV证书。
证书有效期越来越短
这是这两年的一个变化，用免费证书的朋友不用担心，但值得了解一下。
浏览器厂商和证书机构组成的CA/浏览器论坛，决定分阶段缩短所有公开证书的最长有效期：
- 2026年3月15日起，最长200天（原来是398天）；
- 2027年3月15日起，最长100天；
- 2029年3月15日起，最长47天。
Let's Encrypt也公布了自己的计划：默认证书的有效期从90天先缩短到64天（2027年2月），再缩短到45天（2028年2月）。
这意味着以后不管免费还是付费，手动续期的证书都会越来越麻烦，自动续期变成了必需。Hostinger、SiteGround和宝塔面板都是自动续期的，正常情况下不需要做任何事。需要留意的是：
- 宝塔里不要删除“续签Let's Encrypt证书”的计划任务；
- 不要用手动DNS验证申请证书，这种方式没法自动续期；
- 改了域名解析、开关了Cloudflare代理之后，看一眼证书还能不能正常续期。
装好证书之后要做什么？
证书装好，只是网站“能用https访问”，还要确认三件事：
- 强制HTTPS：让所有
http://的访问自动跳转到https://。Hostinger默认开启，SiteGround在Speed Optimizer插件或者Site Tools里开启，宝塔在SSL页面右上角打开「强制HTTPS」； - WordPress的网址改成https：在「设置」→「常规」里，把「WordPress地址」和「站点地址」都改成
https://开头； - 检查混合内容：页面是https，但里面的图片、CSS、JS还在用
http://加载，浏览器同样会提示不安全。按F12打开控制台，看提示「Mixed Content」的资源，用搜索替换插件把数据库里的旧地址批量改掉，改之前先备份，见《WordPress网站怎么备份？》。
另外，从http换成https之后，在Google Search Console里确认收录的是https版本的网址，sitemap里的地址也应该是https，见《XML站点地图和Search Console》。
常见问题
免费证书会被浏览器提示不安全吗？
不会。Let's Encrypt被所有主流浏览器信任，装好之后和付费证书一样显示小锁。
怎么查看网站用的是哪家的证书？
点击浏览器地址栏左边的小锁（Chrome里是一个设置图标），选择「连接是安全的」→「证书有效」，在证书详情里可以看到颁发者和有效期。
证书过期了会怎样？
浏览器会弹出整页的红色警告，提示“您的连接不是私密连接”，大部分访客会直接离开。用主机自带的证书一般不会遇到，如果遇到了，到主机后台重新安装一次证书即可。
子域名需要单独申请证书吗？
普通证书只覆盖申请时勾选的域名。新加了子域名，需要给它单独安装一次，或者使用通配符证书。在宝塔里申请通配符证书需要用DNS验证。
有了SSL，网站就安全了吗？
不是。SSL只保证传输过程是加密的，网站本身的漏洞、弱密码、过期的插件，它管不了。服务器的安全设置见《VPS安全基础设置》，账号安全见《Hostinger账号安全设置》。
总结
SSL证书让网站可以用https加密访问，没有它，浏览器会提示“不安全”，谷歌排名也会受影响。Hostinger、SiteGround这类主机和宝塔面板提供的免费证书，大部分来自Let's Encrypt，加密强度和付费证书没有区别，普通的企业站、外贸站用免费的就够了。只有需要在证书里展示企业身份时，才需要购买OV或EV证书。证书的有效期正在变得越来越短，用主机或面板自带的自动续期即可，装好之后记得打开强制HTTPS并检查混合内容。
