海外云服务器 40个地区可选            亚太云服务器 香港 日本 韩国

云虚拟主机 个人和企业网站的理想选择            俄罗斯电商外贸虚拟主机 赠送SSL证书

美国云虚拟主机 助力出海企业低成本上云             拨号云主机

本文详细介绍了如何在Nginx服务器上配置SSL证书，以实现HTTPS安全访问，内容包括获取SSL证书、配置Nginx启用HTTPS、设置强制HTTPS跳转及安全性优化建议，帮助用户提升网站安全性与可信度。

随着互联网技术的不断进步,网络安全问题日益受到重视，HTTPS协议作为HTTP协议的安全版本，通过SSL/TLS证书对数据进行加密传输，已经成为现代网站的标准配置，Nginx作为目前最流行的高性能Web服务器和反向代理服务器，不仅具备出色的并发处理能力，还支持HTTPS协议，能够高效地完成SSL证书的配置，本文将详细介绍如何在Nginx中配置SSL证书，实现网站的HTTPS安全访问。

SSL（Secure Sockets Layer）证书是一种用于加密客户端与服务器之间通信的数字证书，能够有效防止数据在传输过程中被窃取或篡改，是保障网站安全、提升用户信任度的重要手段，随着SSL协议的演进，其继任者TLS（Transport Layer Security）逐渐成为主流，尽管如此，人们仍习惯将这类证书统称为SSL证书。

根据验证等级的不同,SSL证书主要分为以下几类：

• DV证书（Domain Validation）：仅验证域名所有权，适合个人网站或测试环境使用。
• OV证书（Organization Validation）：除验证域名所有权外，还需验证企业身份信息，适用于企业官网等正式网站。
• EV证书（Extended Validation）：提供最高级别的验证，浏览器地址栏会显示绿色标识，适用于金融、电商等对安全性要求极高的网站。

还有适用于多域名或多子域名的证书类型,如通配符证书（Wildcard SSL）和多域名证书（SAN证书），可以灵活满足不同业务场景的需求。

为什么要在Nginx中配置SSL证书

Nginx因其卓越的性能、低资源消耗以及出色的并发处理能力，广泛应用于Web服务器、反向代理和负载均衡场景，在现代网站架构中，Nginx通常作为前端服务器处理用户请求，因此在Nginx层面配置SSL证书，不仅可以提升网站的整体安全性，还能有效减轻后端服务器在SSL加密解密方面的压力。

通过在Nginx中配置SSL证书,可以实现以下目标：

• 为网站提供HTTPS访问,确保数据传输的安全性；
• 提升搜索引擎排名,Google等主流搜索引擎将HTTPS作为排名因素之一；
• 增强用户信任,提高品牌信誉和用户满意度；
• 有效防止中间人攻击（MITM）和敏感数据泄露。

准备工作

在开始配置SSL证书之前,需完成以下准备工作：

1. 域名已备案：在中国境内部署网站时，需确保域名已完成ICP备案；
2. 申请SSL证书：可选择免费的Let’s Encrypt证书，或购买商业证书（如阿里云、腾讯云、DigiCert等）；
3. 获取证书文件：通常包括证书文件（.crt 或 .pem）和私钥文件（.key），部分证书还会提供中间证书（CA证书）；
4. 安装并运行Nginx：确保Nginx已正确安装并处于运行状态。

在Nginx中配置SSL证书的步骤

以下以Let’s Encrypt证书为例，介绍如何在Nginx中完成HTTPS配置。

安装Certbot工具

Certbot是一个自动化获取和更新Let’s Encrypt证书的工具，推荐使用。

sudo apt update
sudo apt install certbot python3-certbot-nginx

获取SSL证书

运行以下命令,Certbot将自动完成域名验证并获取证书：

sudo certbot --nginx -d yourdomain.com -d www.yourdomain.com

请将yourdomain.com替换为你的实际域名。

配置Nginx启用HTTPS

Certbot会自动修改Nginx的配置文件,启用HTTPS并设置301重定向，将HTTP请求跳转至HTTPS，你可以在/etc/nginx/sites-available/目录下查看生成的配置文件，内容如下所示：

server {
    listen 80;
    server_name yourdomain.com www.yourdomain.com;
    return 301 https://$host$request_uri;
}
server {
listen 443 ssl;
server_name yourdomain.com www.yourdomain.com;
ssl_certificate /etc/letsencrypt/live/yourdomain.com/fullchain.pem;
ssl_certificate_key /etc/letsencrypt/live/yourdomain.com/privkey.pem;
ssl_protocols TLSv1.2 TLSv1.3;
ssl_ciphers HIGH:!aNULL:!MD5;
location / {
    root /var/www/html;
    index index.html;
}

重启Nginx使配置生效

sudo systemctl restart nginx

测试HTTPS访问

在浏览器中访问https://yourdomain.com，查看是否显示绿色锁标志，确认HTTPS配置已成功启用。

手动配置SSL证书的方法

若你使用的是商业证书,或希望手动配置SSL证书，可参考以下步骤：

1. 将证书文件（如yourdomain.crt）和私钥文件（如yourdomain.key）上传至服务器，建议存放在/etc/nginx/ssl/目录下。
2. 修改Nginx配置文件,配置SSL参数：

server {
    listen 443 ssl;
    server_name yourdomain.com;
    ssl_certificate /etc/nginx/ssl/yourdomain.crt;
    ssl_certificate_key /etc/nginx/ssl/yourdomain.key;
    ssl_protocols TLSv1.2 TLSv1.3;
    ssl_ciphers HIGH:!aNULL:!MD5;
location / {
    proxy_pass http://localhost:8080;
}

配置完成后,重启Nginx服务以使更改生效。

常见问题与解决方案

1. 证书过期
   Let’s Encrypt证书有效期为90天，可通过以下命令自动续期：

   <pre class="brush:bash;toolbar:false">sudo certbot renew</pre>
   <p>建议设置定时任务（crontab），每日自动检查证书状态：</p>
   <pre class="brush:bash;toolbar:false">0 0 * * * /usr/bin/certbot renew --quiet</pre>

2. 页面资源混合加载
   确保网页中引用的图片、脚本等资源也使用HTTPS协议，否则浏览器可能会提示“混合内容”警告。

3. 证书链不完整
   某些浏览器或客户端可能因证书链不完整而报错，可以通过将中间证书合并到主证书文件中来解决：

   <pre class="brush:bash;toolbar:false">cat yourdomain.crt intermediate.crt > fullchain.crt</pre>

4. Nginx启动失败
   检查证书路径是否正确，私钥是否匹配，文件权限是否设置正确（通常为600）。

优化SSL配置

为进一步提升网站的安全性与性能,建议对SSL配置进行如下优化：

• 启用HTTP严格传输安全（HSTS）头，强制浏览器始终使用HTTPS连接：

  <pre class="brush:nginx;toolbar:false">add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;</pre>

• 启用OCSP Stapling，提升证书验证效率：

  <pre class="brush:nginx;toolbar:false">

  ssl