Nginx配置SSL证书实现HTTPS安全访问的完整指南
海外云服务器 40个地区可选 亚太云服务器 香港 日本 韩国
云虚拟主机 个人和企业网站的理想选择 俄罗斯电商外贸虚拟主机 赠送SSL证书
美国云虚拟主机 助力出海企业低成本上云 WAF网站防火墙 为您的业务网站保驾护航
本文详细介绍了如何在Nginx服务器上配置SSL证书，以实现HTTPS安全访问，内容包括获取SSL证书、配置Nginx启用HTTPS、设置强制HTTPS跳转及安全性优化建议，帮助用户提升网站安全性与可信度。
随着互联网技术的不断进步,网络安全问题日益受到重视，HTTPS协议作为HTTP协议的安全版本，通过SSL/TLS证书对数据进行加密传输，已经成为现代网站的标准配置，Nginx作为目前最流行的高性能Web服务器和反向代理服务器，不仅具备出色的并发处理能力，还支持HTTPS协议，能够高效地完成SSL证书的配置，本文将详细介绍如何在Nginx中配置SSL证书，实现网站的HTTPS安全访问。
SSL（Secure Sockets Layer）证书是一种用于加密客户端与服务器之间通信的数字证书，能够有效防止数据在传输过程中被窃取或篡改，是保障网站安全、提升用户信任度的重要手段，随着SSL协议的演进，其继任者TLS（Transport Layer Security）逐渐成为主流，尽管如此，人们仍习惯将这类证书统称为SSL证书。
根据验证等级的不同,SSL证书主要分为以下几类：
- DV证书（Domain Validation）：仅验证域名所有权，适合个人网站或测试环境使用。
- OV证书（Organization Validation）：除验证域名所有权外，还需验证企业身份信息，适用于企业官网等正式网站。
- EV证书（Extended Validation）：提供最高级别的验证，浏览器地址栏会显示绿色标识，适用于金融、电商等对安全性要求极高的网站。
还有适用于多域名或多子域名的证书类型,如通配符证书（Wildcard SSL）和多域名证书（SAN证书），可以灵活满足不同业务场景的需求。
为什么要在Nginx中配置SSL证书
Nginx因其卓越的性能、低资源消耗以及出色的并发处理能力，广泛应用于Web服务器、反向代理和负载均衡场景，在现代网站架构中，Nginx通常作为前端服务器处理用户请求，因此在Nginx层面配置SSL证书，不仅可以提升网站的整体安全性，还能有效减轻后端服务器在SSL加密解密方面的压力。
通过在Nginx中配置SSL证书,可以实现以下目标：
- 为网站提供HTTPS访问,确保数据传输的安全性；
- 提升搜索引擎排名,Google等主流搜索引擎将HTTPS作为排名因素之一；
- 增强用户信任,提高品牌信誉和用户满意度；
- 有效防止中间人攻击（MITM）和敏感数据泄露。
准备工作
在开始配置SSL证书之前,需完成以下准备工作：
- 域名已备案：在中国境内部署网站时，需确保域名已完成ICP备案；
- 申请SSL证书：可选择免费的Let’s Encrypt证书，或购买商业证书（如阿里云、腾讯云、DigiCert等）；
- 获取证书文件：通常包括证书文件（.crt 或 .pem）和私钥文件（.key），部分证书还会提供中间证书（CA证书）；
- 安装并运行Nginx：确保Nginx已正确安装并处于运行状态。
在Nginx中配置SSL证书的步骤
以下以Let’s Encrypt证书为例，介绍如何在Nginx中完成HTTPS配置。
安装Certbot工具
Certbot是一个自动化获取和更新Let’s Encrypt证书的工具，推荐使用。
sudo apt update sudo apt install certbot python3-certbot-nginx
获取SSL证书
运行以下命令,Certbot将自动完成域名验证并获取证书：
sudo certbot --nginx -d yourdomain.com -d www.yourdomain.com
请将yourdomain.com替换为你的实际域名。
配置Nginx启用HTTPS
Certbot会自动修改Nginx的配置文件,启用HTTPS并设置301重定向，将HTTP请求跳转至HTTPS，你可以在/etc/nginx/sites-available/目录下查看生成的配置文件，内容如下所示：
server {
listen 80;
server_name yourdomain.com www.yourdomain.com;
return 301 https://$host$request_uri;
}
server {
listen 443 ssl;
server_name yourdomain.com www.yourdomain.com;
ssl_certificate /etc/letsencrypt/live/yourdomain.com/fullchain.pem;
ssl_certificate_key /etc/letsencrypt/live/yourdomain.com/privkey.pem;
ssl_protocols TLSv1.2 TLSv1.3;
ssl_ciphers HIGH:!aNULL:!MD5;
location / {
root /var/www/html;
index index.html;
}
重启Nginx使配置生效
sudo systemctl restart nginx
测试HTTPS访问
在浏览器中访问https://yourdomain.com，查看是否显示绿色锁标志，确认HTTPS配置已成功启用。
手动配置SSL证书的方法
若你使用的是商业证书,或希望手动配置SSL证书，可参考以下步骤：
- 将证书文件（如
yourdomain.crt）和私钥文件（如yourdomain.key）上传至服务器，建议存放在/etc/nginx/SSL/目录下。 - 修改Nginx配置文件,配置SSL参数：
server {
listen 443 ssl;
server_name yourdomain.com;
ssl_certificate /etc/nginx/ssl/yourdomain.crt;
ssl_certificate_key /etc/nginx/ssl/yourdomain.key;
ssl_protocols TLSv1.2 TLSv1.3;
ssl_ciphers HIGH:!aNULL:!MD5;
location / {
proxy_pass http://localhost:8080;
}
配置完成后,重启Nginx服务以使更改生效。
常见问题与解决方案
-
证书过期
Let’s Encrypt证书有效期为90天，可通过以下命令自动续期：<pre class="brush:bash;toolbar:false">sudo certbot renew</pre> <p>建议设置定时任务（crontab），每日自动检查证书状态：</p> <pre class="brush:bash;toolbar:false">0 0 * * * /usr/bin/certbot renew --quiet</pre> -
页面资源混合加载
确保网页中引用的图片、脚本等资源也使用HTTPS协议，否则浏览器可能会提示“混合内容”警告。 -
证书链不完整
某些浏览器或客户端可能因证书链不完整而报错，可以通过将中间证书合并到主证书文件中来解决：<pre class="brush:bash;toolbar:false">cat yourdomain.crt intermediate.crt > fullchain.crt</pre> -
Nginx启动失败
检查证书路径是否正确，私钥是否匹配，文件权限是否设置正确（通常为600）。
优化SSL配置
为进一步提升网站的安全性与性能,建议对SSL配置进行如下优化：
-
启用HTTP严格传输安全（HSTS）头，强制浏览器始终使用HTTPS连接：
<pre class="brush:nginx;toolbar:false">add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;</pre> -
启用OCSP Stapling，提升证书验证效率：
<pre class="brush:nginx;toolbar:false">ssl
