SSL 证书（Secure Socket Layer，安全套接层）是一种数字证书，用于验证网站身份并允许在网站之上建立加密连接。
组织部署 SSL 证书，以保护用户与服务器之间传输的数据。SSL 证书会在网站上启用挂锁标识，向终端用户保证其数据在网站上安全可靠。目前，挂锁符号看起来像一个设置图标。
本文将详细讨论 SSL、SSL 的功能、重要性以及 SSL 的类型。
什么是 SSL？
SSL 是一种安全协议。早期，数据通过不安全的 HTTP 协议传输，存在被任何人窃听的风险。在引入 SSL（安全套接层）这一密码学协议后，数据始终保持加密，并在域名前启用 HTTPS。多出的"S"是 SSL 安全的象征。
通过这种方式，SSL 建立了加密通道，数据从客户端到服务器、再从服务器回到客户端，都以编码格式传输，避免被窃听。
SSL 基于加密与解密技术，使用私钥与公钥对数据进行编码与解码，我们将在后文详述。
SSL/TLS 协议
SSL 基于名为 SSL 与 TLS 的密码学协议工作。早期 SSL 使用 SSL 3.0 协议，该协议已被弃用，并由新的 TLS 协议取代。
TLS 1.0 由互联网工程任务组（IETF）于 1999 年发布，最新的 TLS 1.3 版本于 2018 年发布。TLS 用于在 HTTP、FTP、SMTP、IMAP、UDP、DCCP、SCTP 等应用协议之上加密数据。
| 协议 | 发布年份 | 状态 |
|---|---|---|
| SSL 1.0 | 未发布 | 未发布 |
| SSL 2.0 | 1995 | 2011 年弃用 |
| SSL 3.0 | 1996 | 2015 年弃用 |
| TLS 1.0 | 1999 | 2021 年弃用 |
| TLS 1.1 | 2006 | 2021 年弃用 |
| TLS 1.2 | 2008 | 2008 年起使用至今 |
| TLS 1.3 | 2018 | 2018 年起使用至今 |
什么是 SSL 证书？
SSL 证书又称数字证书，用于验证组织身份并允许建立加密连接。组织应购买并安装 SSL 证书，以保护服务器与浏览器之间流动的数据。
许多证书颁发机构（CA）以不同价格提供 SSL 证书。DigiCert、GlobalSign、Comodo、Sectigo、RapidSSL、GeoTrust 是几家多年来一直服务于客户的知名 CA。根据 MWR 报告，DigiCert、GlobalSign 和 Comodo 是 SSL 证书提供商中的关键参与者。
SSL 证书如何工作？
SSL 证书是一种验证组织身份并允许建立加密连接的数字证书。组织应为服务器和浏览器数据添加 SSL 证书加以保护。
当浏览器尝试连接网站时，浏览器与服务器会建立由 SSL 证书保护的安全连接。整个加密过程称为 SSL 握手，它在后台进行，对任何人不可见。
共有三种密钥：公钥、私钥与会话密钥。加密与解密过程基于公钥与私钥。公钥加密数据，只有私钥才能解密。在 SSL 握手过程中，会创建会话密钥来编码数据传输。
- 阶段一：浏览器向服务器发送"ClientHello"消息，包含可支持的 SSL/TLS 版本与密码套件等信息。
- 阶段二：服务器回复"ServerHello"消息，确认双方都能支持的最高 TLS/SSL 版本与密码套件。
- 阶段三：服务器发送由证书颁发机构背书并验证的数字证书。
- 阶段四：浏览器验证所呈现的 SSL 证书，随后使用服务器公钥加密会话密钥的预主密钥（premaster secret）并发送给服务器。
- 阶段五：服务器用私钥解密预主密钥。服务器与客户端使用会话密钥对所有事务进行对称加密。
网站为什么需要 SSL 证书？
SSL 证书建立安全连接，向终端用户保证数据在传输过程中保持安全。
若数据以明文形式存在，第三方可能窃听并篡改，这对用户隐私极为危险。HTTP 是需要安全保障的协议，以为网站创建安全环境。为此，网站持有者需要 SSL 证书来保护登录凭证、信用卡或借记卡等敏感信息。
SSL 证书的优势
加密
SSL 证书对敏感数据进行加密，使其对第三方不可读。传输中的数据安全让终端用户确信其数据受到保护，从而更愿意与网站积极互动。
安全图标
SSL 在地址栏启用安全图标，向访客保证他们身处安全站点、凭据将保持安全。随着更多客户加入，企业的投资回报率（ROI）会随时间增长。
PCI DSS 标准
SSL 证书受称为 PCI DSS 标准的具体规则与法规约束。政府制定的 PCI DSS 规则要求网站使用最新的加密标准与安全连接，以维护访客与客户的利益。
业务验证
SSL 证书颁发机构通过核查相关文件来验证业务凭证，向终端用户表明他们正在与经过验证的正确组织打交道，其数据在网站上受到强加密保护。
SSL 证书的类型与验证级别
SSL 证书分为三个验证类别：域名验证（DV）、组织验证（OV）和扩展验证（EV）。所有 SSL 证书类型又包括单域名、通配符 SSL 和多域名 SSL 证书。下面逐一介绍：
验证级别
域名验证（DV）
域名验证是最基础的验证类型，通过邮件、CNAME 或 HTTP 验证来确认域名所有权。站点所有者只需验证域名，CA 即可签发 SSL 证书。不过，域名验证缺乏深入的身份核验。若你追求更高验证级别，应了解其他验证类型。
组织验证（OV）
组织验证比域名验证更进一层。CA 需要商业与法律文件来验证业务身份。因此，证书所有者必须验证域名并向 CA 提交文件。验证完成后，CA 签发应在服务器上安装的 SSL 证书。
扩展验证（EV）
扩展验证（EV SSL）是最高级别的验证，包含域名与组织验证流程。EV 流程为站点所有者提供经过验证的合法业务身份，以向终端用户保证。站点访客可在浏览器中查看已验证的企业名称。在此流程中，CA 可拨打注册号码作进一步核实。
SSL 证书类型
单域名 SSL 证书
单域名 SSL 证书仅保护一个域名。它可以是域名验证、组织验证或 EV SSL 证书。单域名 SSL 非常适合中小型企业在。
多域名 SSL 证书
多域名 SSL 在一张证书中保护不同域名与子域名。它是一种高性价比的证书，能节省开支。例如，domain.com 与 example.com 都可用多域名 SSL 保护，你还可在其中纳入不同层级的子域名。
UCC 证书
UCC（统一通信证书）的作用类似多域名 SSL 证书，但最适合用于 Microsoft Exchange 服务器或服务。站点持有者可用一张证书保护多个域名与子域名。
通配符 SSL 证书
通配符 SSL 证书用于保护主域名（带星号 *）及其第一级子域名。例如，*.domain.com 可保护 mail.domain.com、payment.domain.com 与 example.domain.com。通配符无法在 EV 验证下签发，因为每个子域名都需单独验证，而通配符仅验证主域名。不过，不同层级的子域名可通过多域名通配符 SSL 覆盖。
网站如何获取 SSL 证书？
- 如今获取 SSL 证书十分容易。建议选择一家可靠且高性价比的证书提供商。
- 该提供商秉持以客户为中心的理念，在 SSL 购买的每个阶段都照顾客户。站点所有者在获取 SSL 证书前应准备几项基本事项。
- IP 地址、最新的 WHOIS 记录、企业的政府登记文件、验证类型、SSL 证书类型——站点所有者希望获取 SSL 证书时，这些都应准备就绪。
- 选定并购买 SSL 后，你将拥有自己的账户，可在其中进行购买、续期、重新签发及其他 SSL 操作。
- 在配置过程中，站点所有者首先需要创建证书签名请求（CSR）。
- 配置过程中，你需要将 CSR 提交给证书提供商。
- 随后，通过邮件、CNAME 或 HTTP 文件验证完成域名验证配置流程。
- 若是组织验证或 EV 验证，站点所有者应提交所需的业务相关文件。
- 验证流程完成后，CA 签发应在服务器上安装的 SSL 证书。安装过程因服务器类型而异。
- 若在 SSL 购买、配置或安装过程中遇到任何困难，提供商会通过全天候技术支持为你解决。
总结
SSL 证书使用 TLS 协议，你的服务器应配置最新的 TLS 版本。面对网络世界每日的安全威胁，SSL 证书对安全至关重要。要在安全环境中持续经营业务，SSL 证书必不可少。要赢得客户信任，SSL 就像一位救星。
常见问题
SSL 的英文全称是什么？
SSL 全称 Secure Socket Layer（安全套接层），有助于保护服务器与浏览器之间传输的数据。
SSL 证书过期后会发生什么？
使用过期的 SSL 证书时，浏览器会开始显示警告。用户因担心信息被第三方窃听而不敢在网站上分享详情。窃听者可能窥探并滥用这些信息。应尽快续期过期 SSL 证书，以维系用户信任，否则将给公司造成负面印象并影响整体 ROI。
自签名证书与 CA 签名证书的区别？
自签名证书由组织或个人自行创建并签名，用其私钥签名，不属于公开受信任的证书。网站或浏览器不认为这类证书可信，也没有信任标识。
另一方面，CA 签名证书由第三方 CA 签名创建，是信任的象征。这类 SSL 证书带有信任标识以提供更好的安全保证。大多数浏览器与操作系统信任 CA 签名证书。站点所有者需支付一定费用购买 CA 签名证书，但如今这类证书已能以较低成本获取。
SSL 证书与 TLS 证书有什么区别？
SSL 与 TLS 证书相同，都可在服务器上安装以保护网站。但 TLS 协议与 SSL 协议是两件不同的事。所有现代网站都使用 TLS 协议，因为最新的 SSL 3.0 协议早已被弃用。你应检查 TLS 版本设置，确保网站使用 TLS 版本。