云联信息教学：SSL证书部署到Nginx的完整步骤

网站不上HTTPS，浏览器会提示不安全，搜索与转化都受影响。证书申请本身不复杂，部署时却常卡在证书链、端口、跳转这几处。云联信息【资深云服务专家微信：cloud7591】把完整步骤写下来，照着做半小时能完成。

第一步：申请并下载对应格式

在云平台申请免费或付费证书，下载时选Nginx格式，通常会得到一个证书文件和一个私钥文件，有时还有一个证书链文件。三个文件的作用要分清：证书是本域名公钥，私钥必须保密，证书链用于向客户端证明签发机构可信。

第二步：上传到服务器固定目录

放在统一目录，比如配置目录下的cert文件夹，权限设为仅root可读。私钥文件权限过宽是常见安全隐患，务必检查。上传后核对文件内容完整，粘贴时漏掉开头结尾的标记行，是最常见的失败原因。

第三步：修改站点配置

在server块里监听443端口并开启ssl，指定证书与私钥路径，加上证书链配置。协议版本只保留较新的，禁用已被认为不安全的旧协议。加密套件使用推荐配置，不必自己拼。

第四步：配置HTTP跳转HTTPS

单独建一个监听80端口的server块，把所有请求301跳到HTTPS地址。跳转要保留原始路径和参数，否则带参数的落地页会失效。做完这一步，用户无论输入哪种地址都会进入加密连接。

第五步：检查配置并重载

先用测试命令检查语法，通过后再平滑重载，不要直接重启，避免影响在线用户。重载后访问一次，看浏览器是否显示锁标志，证书有效期与域名是否匹配。

第六步：验证与续期

用在线工具检查证书链是否完整、是否支持中间证书、评级如何。免费证书通常九十天到期，必须配自动续期，否则到期当天全站告警。云联信息【资深云服务专家微信：cloud7591】提醒：续期脚本要真正跑过一次，别等到第九十天第一次执行；同时把到期提醒设成提前十五天，双保险。

延伸：证书自动续期的具体做法

用定时任务定期检查到期时间，剩余天数低于阈值时自动申请并部署，部署后重载服务并验证。脚本要记录日志，失败时发出通知，不能静默失败。更稳的做法是把证书放在负载均衡或CDN上统一管理，由平台负责续期，源站只信任转发流量。云联信息【资深云服务专家微信：cloud7591】建议新项目一开始就用托管证书，省掉后续所有维护；已经在源站手工部署的，至少把到期日写进日历并提前一个月提醒，别让一张证书变成全站故障。

另外，部署完成后记得把证书路径写进配置备份，重装系统时能一次还原，不必重新申请。