SSL 憑證（現行行業標準為 TLS 認證）是一種數位憑證，用於驗證網站身份並加密瀏覽器與伺服器之間的通訊。認證由受信任的憑證授權單位 (CA) 簽發，是實現 HTTPS 協議、保障資料轉送安全與完整性的基礎。本文介紹 SSL 憑證的核心價值、工作原理和使用流程。
核心價值
部署SSL/TLS認證是現代網站的必要安全措施，主要解決以下問題：
資料加密：通過加密用戶端（如瀏覽器）與 Web 服務器之間的傳輸資料，防止敏感性資料被非法截取或篡改。
身分識別驗證：驗證伺服器的合法性，防止使用者訪問仿冒或釣魚網站。
提升瀏覽器信任：消除瀏覽器“不安全”警告，在地址欄顯示安全鎖標誌。
合規性保障：滿足等保 2.0、PCI DSS 等網路安全與資料保護法規的要求。
搜尋引擎最佳化 (SEO)：主流搜尋引擎會優先索引 HTTPS 網站，有助於提升搜尋排名。
工作原理
SSL/TLS 協議採用混合加密機制：通過非對稱式加密驗證身份，通過對稱式加密傳輸資料。
認證簽發與驗證（信任鏈結構建）
產生請求：伺服器產生金鑰組（RSA 2048 位或 ECC 256 位），將公開金鑰及組織資訊封裝為 CSR（認證簽章要求）。
CA 簽名：CA 驗證網域名稱所有權後，從 CSR 中提取公開金鑰和申請者資訊，結合頒發者資訊、有效期間及擴充欄位構造認證內容，使用 CA 私密金鑰進行數位簽章，產生符合 X.509 標準的認證。
信任傳遞：瀏覽器通過預置的根憑證逐級驗證伺服器憑證簽名，建立信任鏈結。
加密會話建立（TLS 握手）
握手啟動：用戶端發送
ClientHello訊息，包含支援的協議版本和密碼套件列表。認證傳遞：伺服器響應
ServerHello訊息並發送憑證鏈結。身分識別驗證：用戶端驗證認證的有效期間和網域名稱匹配性，並通過 CRL（憑證撤銷清單）或 OCSP（線上憑證狀態通訊協定）確認認證未被吊銷。部分部署採用 OCSP Stapling 技術最佳化此過程。
金鑰交換：雙方通過金鑰交換機制產生工作階段金鑰。
ECDHE 模式（推薦）：雙方各自產生臨時金鑰組並交換公開金鑰，獨立計算出相同的工作階段金鑰。
RSA 模式（傳統）：用戶端產生預主要金鑰，使用伺服器公開金鑰加密後傳輸；伺服器解密後，雙方派生工作階段金鑰。
對稱通訊：握手完成後，所有資料使用工作階段金鑰進行對稱式加密傳輸。
認證中的公開金鑰（基於 RSA、ECC 或 SM2 演算法）用於驗證伺服器身份和建立金鑰交換的安全通道。實際資料轉送使用協商產生的對稱金鑰（如 AES）加密，以保證效能。更多資訊，請參見什麼是公開金鑰和私密金鑰。
使用流程
購買認證
建立認證
若購買時未綁定網域名稱，需建立認證，將購買的額度與網域名稱進行關聯。在建立過程中，系統提供快捷簽發選項：
勾選快捷簽發：需要填寫申請資訊。建立完成後，系統將自動向CA提交認證申請，後續只需配合完成網域名稱所有權驗證。
未勾選快捷簽發：建立完成後，需要登入認證控制台手動填寫並提交申請，具體操作可參見向CA（憑證授權單位）提交申請。
認證列表僅顯示已成功綁定網域名稱的認證，未綁定網域名稱的認證在完成“建立認證”操作後即可見。
申請認證
向 CA（憑證授權單位）提交申請
需要根據不同的認證類型填寫相應的資訊（認證綁定的網域名稱或IP、連絡人、公司和營業執照等）後，提交認證申請至CA。具體操作請參見申請認證。
網域名稱所有權驗證
向CA提交申請時，需驗證您對網域名稱的所有權。更多內容參見網域名稱所有權驗證。
DV認證：支援自動DNS驗證、手動DNS驗證和檔案驗證三種方式。
EV/OV認證：根據CA中心發送網域名稱驗證郵件內容，配合完成驗證。
CA 審核
提交申請並完成網域名稱所有權驗證後，需等待CA審核。查看審核進度及審核結果，請參考CA審核結果處理。DV（網域名稱型）認證平均簽發時間長度為1~15分鐘，OV（企業型）、EV（企業增強型）認證平均簽發時間長度為5個自然日。
部署認證
當CA審核通過且認證狀態為“已簽發”後，需要將認證檔案部署到您的 Web 服務器（例如 Nginx、Apache 或 IIS）或雲產品中，從而為網站啟用 HTTPS 功能。具體操作請參見部署SSL認證。
後續操作
認證續約
SSL 憑證到期後需及時續約或重新申請，同時安裝新的SSL認證來繼續保持網站的加密串連和安全性。具體操作請參見SSL認證續約與到期處理。
憑證撤銷
若認證不再使用可對其進行吊銷。具體操作請參見吊銷和刪除SSL認證。
吊銷操作無法復原。吊銷後的認證將從 CA 的可信列表中移除，瀏覽器和用戶端在驗證時會將其識別為無效認證，並向訪問者顯示訪問安全警告。
常見問題
購買後認證找不到怎麼辦？
若您購買時未填寫網域名稱資訊，購買完成後得到是認證建立資格，不會直接在認證列表中展示。您需要建立SSL認證，綁定網域名稱後才能在列表中看到。
SSL認證支援中文網域名稱嗎？
支援。如果您綁定的是中文網域名稱，需按照控制台提示轉換成Punycode碼，才能申請認證。您也可以使用轉碼工具轉換，具體操作請參見中文網域名稱轉換。
網域名稱解析供應商不是阿里雲，是否可申請阿里雲SSL認證？
可以。 您只需完成網域名稱所有權驗證即可，這與網域名稱服務 (DNS)商無關。
方案 | 操作方法 | 優點 |
在原服務商配置 | 登入您當前網域名稱平台，添加從阿里雲擷取SSL認證驗證記錄 (TXT)。 說明 若有疑問請聯絡您的網域名稱解析供應商。 | 快速直接，無需轉移網域名稱。 |
將網域名稱轉入阿里雲 | 參考網域名稱轉入阿里雲完成轉入後，在Alibaba Cloud DNS控制台完成DNS解析配置。 重要 網域名稱轉入時您需交納一年的續約費用，即網域名稱轉入價格為網域名稱續約一年的價格。 | 方便未來認證續簽和網域名稱統一管理。 |