SSL 憑證簽發後不會自動生效，需要將其部署到對外提供訪問服務的位置，瀏覽器才會將您的網站標記為安全。本文介紹認證應部署在哪些位置，以及各網站可選取的部署方案。
部署前的準備
開始部署前，請確認您已擁有由權威機構簽發的 SSL 憑證。如需購買和申請簽發認證，請參見購買正式認證和向CA（憑證授權單位）提交申請。
確認認證需要部署在哪些位置
訪問者訪問您的網站時，請求可能先經過 CDN、Web Application Firewall（WAF）、負載平衡等產品，最終到達您的伺服器。請求要以 HTTPS 方式訪問某個環節，就需要在該環節部署認證；未部署認證的鏈路仍是 HTTP 訪問，傳輸的資料不受保護。因此，需要部署認證的位置可能不止一處，常見的有 Web 服務器（如 Nginx、Apache、IIS）、負載平衡（ALB）、CDN、WAF、雲原生 API Gateway等。
常見的情況有以下兩種：
直接存取 Web 服務器
訪問請求不經過 CDN、WAF 等產品，直接到達您的伺服器時，認證只需部署在該伺服器的 Web 服務上。
訪問請求經過 CDN、WAF 等產品
訪問請求經過 CDN、WAF 等產品，此時，需要在每一段鏈路的入口處部署認證，該段才能以 HTTPS 方式訪問。以"訪問者 → CDN → WAF → 負載平衡 → 您的伺服器"為例：僅在 CDN 上部署認證時，只有訪問者到 CDN 這一段的 HTTPS 訪問，CDN 之後到伺服器的鏈路仍是 HTTP 訪問；如需實現訪問者到伺服器全程 HTTPS 訪問，則上述四處均需各部署一份認證。
判斷部署情境
確認認證需要部署的位置後，請參照下表判斷每處屬於哪種部署情境，再前往對應章節選擇部署方案。
情境說明 | 參考文檔 |
網域名稱解析或 CNAME 指向阿里雲的託管型產品，由該產品對外提供 HTTPS 訪問。例如 CDN、全站加速 DCDN、WAF、DDoS 高防、負載平衡（ALB/NLB/CLB）、Object Storage Service、雲虛擬機器主機、雲原生 API Gateway、Container Service ACK 等。 | |
網域名稱直接解析到伺服器的公網 IP，HTTPS 由您在伺服器上自行安裝的 Web 服務提供（如 Nginx、Apache、Tomcat、IIS）。伺服器為阿里雲 ECS、Simple Application Server、其他雲平台的雲主機或自有 IDC 伺服器時，均屬於此情境。 | |
網域名稱解析或 CNAME 指向騰訊雲、AWS、華為雲等第三方雲平台的 CDN、WAF、負載平衡等雲產品，由該產品對外提供 HTTPS 訪問。 | |
混合情境。例如網域名稱解析至 CDN，由 CDN 將請求轉寄至您自建的 Nginx 伺服器，且需要實現訪問者到伺服器全程 HTTPS 訪問。 | 對涉及的情境分別執行一次部署，在每處位置各部署一份認證。 |
認證部署過程中如有任何問題需要協助，請聯絡商務經理進行諮詢。
情境一：在阿里雲產品中部署認證
認證需要部署在 CDN、WAF、負載平衡等阿里雲託管型產品上時，有兩種方式：在數位憑證管理服務控制台一鍵推送，或登入對應雲產品控制台上傳認證。推薦前者，可省去下載和上傳認證檔案的步驟。
方案一：在數位憑證管理服務控制台一鍵部署（推薦）
在數位憑證管理服務控制台使用雲產品部署功能，可將認證一鍵推送到下表中的雲產品，無需手動下載和上傳認證檔案。具體操作請參見雲產品部署：部署 SSL 憑證至 SLB/CDN/WAF 等雲產品。
若您使用的產品不在"雲產品部署"功能支援的範圍內，請參考該產品的文檔進行部署。支援一鍵推送的產品見下方表格。
以下表格中的"更新已有認證"表示雲產品已部署過認證，當前需要替換認證的情境。
部分雲產品僅在更新已有認證時支援一鍵部署，首次部署認證需在雲產品控制台完成，具體請參見方案二：在雲產品控制台部署。各雲產品的支援情況見下表適用條件列。
雲產品 | 應用情境 | 適用條件 |
Container Service Kubernetes 版 ACK | ACK 託管與專有叢集中更新 AlbConfig 認證和 Secret 認證 重要 請勿在Container Service ACK 中手動修改 Secret，系統會自動建立新的 Secret。 | 更新已有認證 |
Serverless 應用引擎-網關路由 | 網關路由轉寄協議配置 HTTPS 情境（ALB 和 CLB） | 更新已有認證 |
Function Compute FC | HTTP 函數情境 | 更新已有認證 |
微服務引擎-雲原生網關 | 雲原生網關路由情境 | 更新已有認證 |
雲原生 API Gateway | HTTPS 網域名稱訪問 API 情境 | 更新已有認證 |
Global Acceleration GA | HTTPS 網域名稱安全加速訪問情境 | 更新已有認證 |
| 通過 HTTPS 監聽轉寄 HTTPS 協議請求的情境（伺服器憑證） 說明 部署用戶端認證，請參見部署用戶端認證。 | 更新已有認證 |
內容分發網路 CDN | HTTPS 安全加速情境 | 首次部署認證、更新已有認證 |
全站加速 DCDN | HTTPS 安全加速情境 | 首次部署認證、更新已有認證 |
邊緣安全加速（ESA） | HTTPS 安全加速情境 | 更新已有認證 |
Object Storage Service | 通過 HTTPS 方式訪問 OSS 服務情境 說明 綁定 CDN 加速網域名稱，需在 CDN 控制台替換認證。 | 更新已有認證 |
Web Application Firewall（WAF） | CNAME 接入情境 | 更新已有認證 |
DDoS 高防 | DDoS 高防網域名稱接入情境 | 更新已有認證 |
人工智慧平台 PAI | 模型線上服務 EAS（Elastic Algorithm Service）：專屬網關使用自訂網域名 | 更新已有認證 |
方案二：在雲產品控制台部署
如果雲產品不支援一鍵部署，或您需要在雲產品側自行操作，可在認證列表中下載認證檔案，再登入對應雲產品控制台上傳並配置認證。各雲產品的部署文檔如下表所示。
雲產品 | 應用情境 | 部署文檔 |
Container Service Kubernetes 版 ACK | ACK 託管與專有叢集中更新 AlbConfig 認證和 Secret 認證 重要 請勿在Container Service ACK 中手動修改 Secret，系統會自動建立新的 Secret。 | |
Serverless 應用引擎-網關路由 | 網關路由轉寄協議配置 HTTPS 情境（ALB 和 CLB） | |
Function Compute FC | HTTP 函數情境 | |
微服務引擎-雲原生網關 | 雲原生網關路由情境 | |
雲原生 API Gateway | HTTPS 網域名稱訪問 API 情境 | |
Global Acceleration GA | HTTPS 網域名稱安全加速訪問情境 | |
| 通過 HTTPS 監聽轉寄 HTTPS 協議請求的情境（伺服器憑證） 說明 部署用戶端認證，請參見部署用戶端認證。 |
|
內容分發網路 CDN | HTTPS 安全加速情境 | |
全站加速 DCDN | HTTPS 安全加速情境 | |
邊緣安全加速（ESA） | HTTPS 安全加速情境 | |
Object Storage Service | 通過 HTTPS 方式訪問 OSS 服務情境 說明 綁定 CDN 加速網域名稱，需在 CDN 控制台替換認證。 | |
Web Application Firewall（WAF） | CNAME 接入情境 |
|
DDoS 高防 | DDoS 高防網域名稱接入情境 | |
人工智慧平台 PAI | 模型線上服務 EAS（Elastic Algorithm Service）：專屬網關使用自訂網域名 |
情境二：在自建 Web 服務器中部署認證
HTTPS 由您在伺服器上自行安裝的 Web 服務提供時，認證需部署到該 Web 服務中。有兩種方案：
自動部署：在數位憑證管理服務控制台完成配置後，由控制台將認證部署至伺服器，無需逐台登入。阿里雲 ECS、Simple Application Server，以及其他雲廠商伺服器和本地自建伺服器均可使用，但適用條件不同。
手工部署：下載認證檔案後登入伺服器修改 Web 服務配置。適用於所有伺服器，也是不滿足自動部署條件時（例如認證為國密標準 SM2）的通用方案。
部署教程按 Web 服務器類型（如 Nginx、Apache、Tomcat、IIS）和作業系統區分，因此需先確認伺服器上啟動並執行是哪種 Web 服務。可通過瀏覽器開發人員工具查看回應標頭中的 Server 欄位，或登入伺服器查看監聽 80/443 連接埠的進程，具體方法請參見如何查看Web伺服器類型？。
方案一：通過控制台自動部署
在數位憑證管理服務控制台完成配置後，由控制台將認證部署至伺服器，無需逐台登入，可提升部署效率並降低配置風險。根據伺服器所在位置，有以下兩種方式，請按適用伺服器和使用條件選擇：
部署方式 | 適用伺服器 | 使用條件 |
阿里雲 ECS、Simple Application Server | 僅支援國際標準 SSL 憑證（RSA/ECC）。 | |
其他雲廠商伺服器、本地自建伺服器（也支援阿里雲 ECS） |
|
方案二：登入伺服器手工部署
下載認證檔案後登入伺服器修改 Web 服務配置。此方案適用於所有伺服器，也是國密標準 SSL 憑證唯一可用的部署方式。請按 Web 服務器類型和作業系統選擇對應教程。
伺服器作業系統 | 部署教程 |
Linux 系統 | |
Windows 系統 | |
情境三：在第三方雲平台的雲產品中部署認證
認證需要部署在騰訊雲、AWS、華為雲的雲產品上時，可在數位憑證管理服務控制台完成部署，支援的平台和服務為：
騰訊雲的內容分發網路 CDN、Web Application Firewall、負載平衡 CLB；AWS 的 Amazon CloudFront（CDN）、負載平衡（ALB、NLB 和 CLB）。
華為雲的內容分發網路 CDN、彈性負載平衡 ELB。
具體操作請參見多雲部署：部署認證至三方雲平台。
上述範圍之外的服務，可參考各雲廠商的官方文檔部署：
常見問題
如何下載根憑證？
可參考下載和安裝根憑證，下載相關認證品牌的根憑證。
憑證鏈結不完整、缺少中間認證時怎麼辦？
用戶端的根憑證和中間認證缺失或到期時，請參考如何解決網站SSL憑證鏈結不完整，下載安裝缺失的根憑證或中間認證後，重新嘗試訪問。
部署認證時提示"憑證鏈結中的一個或多個中間認證丟失"？
部分服務端系統部署 SSL 憑證時（如 Windows 2008 R2 中的 IIS），可能會提示此錯誤。需在服務端安裝缺失的根憑證或中間認證。