海外云服务器 40个地区可选            亚太云服务器 香港 日本 韩国

云虚拟主机 个人和企业网站的理想选择            俄罗斯电商外贸虚拟主机 赠送SSL证书

美国云虚拟主机 助力出海企业低成本上云             拨号云主机

随着互联网安全意识的不断增强，HTTPS 已从“加分项”演变为现代网站的标配基础设施，而实现 HTTPS 的核心技术支撑，正是 SSL/TLS 证书，对于使用 Nginx 作为 Web 服务器的站点而言，正确部署 SSL 证书不仅能加密客户端与服务器之间的通信数据，更能显著提升搜索引擎排名、增强用户信任感、降低跳出率,并满足多项行业合规要求。

本文将以系统化、实战化的方式，手把手教你如何在 Nginx 上成功部署 SSL 证书，无论你是新手站长、开发人员还是运维工程师，都能通过本教程快速掌握全流程操作——涵盖证书申请、文件配置、Nginx 设置、验证测试及常见故障排查，真正做到“一看就懂、一做就会”。

为什么必须为 Nginx 部署 SSL 证书？

数据加密，守护用户隐私安全

SSL/TLS 协议通过对传输层进行高强度加密，有效防止中间人攻击（MITM）、数据窃听和篡改风险，尤其在涉及用户登录、支付交易、表单提交等敏感场景中，SSL 是保障信息安全的第一道防线。

提升 SEO 排名与用户体验

自 2014 年起，Google 明确将 HTTPS 作为搜索排名的重要参考因素；主流浏览器如 Chrome、Edge 等也会对 HTTP 网站标记“不安全”警告，直接影响用户点击意愿和转化率，启用 HTTPS 不仅是技术升级,更是品牌专业度的体现。

满足法律法规与行业标准

金融、医疗、电商等行业普遍需遵守 PCI DSS、GDPR、等保2.0 等数据安全规范，强制要求数据传输全程加密，部署有效 SSL 证书已成为合规运营的基本门槛。

获取 SSL 证书的三种主流方式

📌 本文将以 Let’s Encrypt 为例进行演示，因其开源、免费、易用且被全球广泛采用,是绝大多数项目的理想选择。

使用 Certbot 自动化部署 Let’s Encrypt 证书（推荐）

Certbot 是由 EFF（电子前沿基金会）官方推出的自动化工具，完美适配 Nginx，支持一键申请、安装、配置与自动续期。

步骤 1：安装 Certbot 及 Nginx 插件

Ubuntu / Debian：

sudo apt update
sudo apt install certbot python3-certbot-nginx

CentOS / RHEL / Rocky Linux：

sudo yum install epel-release
sudo yum install certbot python3-certbot-nginx

✅ 确保你的域名已正确解析至服务器 IP，且 80 端口对外开放（Let’s Encrypt 通过 HTTP-01 挑战验证所有权）。

步骤 2：一键申请并部署证书

执行如下命令，Certbot 将自动完成证书申请、Nginx 配置修改与服务重启：

sudo certbot --nginx -d yourdomain.com -d www.yourdomain.com

按提示输入邮箱地址 → 同意服务条款 → 选择是否重定向 HTTP 到 HTTPS → 完成！

💡 Certbot 会智能识别现有 Nginx 配置，为你生成带 SSL 的 server 块，并保留原有设置,极大降低出错概率。

步骤 3：设置自动续期（关键！）

Let’s Encrypt 证书每 90 天过期一次,务必配置定时任务实现无缝续期：

sudo crontab -e

添加以下行（每日凌晨 2 点自动检测并续期）：

0 2 * * * /usr/bin/certbot renew --quiet --post-hook "systemctl reload nginx"

🔁 --post-hook 参数确保续期后自动重载 Nginx,避免服务中断。

手动部署 SSL 证书（适用于商业证书或自建 CA）

若你从其他渠道获得证书文件（如购买的商业证书），需手动配置 Nginx。

步骤 1：准备证书文件

通常你会收到三个核心文件：

• your_domain.crt —— 服务器公钥证书
• your_domain.key —— 私钥文件（⚠️ 绝对保密，切勿泄露）
• ca_bundle.crt —— 中间证书链（部分 CA 分开提供）

⚠️ 若缺失中间证书，可能导致浏览器提示“证书链不完整”,影响信任度。

步骤 2：上传证书至服务器

建议统一存放路径,便于管理：

sudo mkdir -p /etc/nginx/ssl/yourdomain
sudo cp your_domain.* ca_bundle.crt /etc/nginx/ssl/yourdomain/

设置私钥权限,防止未授权访问：

sudo chmod 600 /etc/nginx/ssl/yourdomain/your_domain.key
sudo chown root:root /etc/nginx/ssl/yourdomain/your_domain.key

步骤 3：配置 Nginx 站点文件

编辑站点配置文件（如 /etc/nginx/sites-available/yourdomain.conf）,参考以下安全强化模板：

server {
    listen 80;
    server_name yourdomain.com www.yourdomain.com;
    # 强制跳转 HTTPS
    return 301 https://$server_name$request_uri;
}
server {
    listen 443 ssl http2;
    server_name yourdomain.com www.yourdomain.com;
    # SSL 证书路径
    ssl_certificate /etc/nginx/ssl/yourdomain/fullchain.crt;     # 合并后的完整链
    ssl_certificate_key /etc/nginx/ssl/yourdomain/your_domain.key;
    # 安全协议与加密套件（禁用老旧协议）
    ssl_protocols TLSv1.2 TLSv1.3;
    ssl_ciphers ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384;
    ssl_prefer_server_ciphers off;
    # HSTS（强制浏览器使用 HTTPS，防降级攻击）
    add_header Strict-Transport-Security "max-age=63072000; includeSubDomains; preload" always;
    # OCSP Stapling（提升性能与隐私）
    ssl_stapling on;
    ssl_stapling_verify on;
    resolver 8.8.8.8 8.8.4.4 valid=300s;
    resolver_timeout 5s;
    # 根目录与默认页面
    root /var/www/yourdomain;
    index index.html index.htm;
    location / {
        try_files $uri $uri/ =404;
    }
}

🔄 若证书链不完整,请先合并证书文件：

cat your_domain.crt ca_bundle.crt > fullchain.crt

然后在配置中指向 fullchain.crt。

步骤 4：测试配置 & 重载 Nginx

sudo nginx -t          # 语法检查
sudo systemctl reload nginx   # 平滑重载配置

验证 SSL 部署是否成功

浏览器直观验证

访问 https://yourdomain.com，确认地址栏出现🔒锁形图标,无任何安全警告。

使用权威在线检测工具

• SSL Labs Test —— 全球最权威的 SSL 评分系统，给出 A+ 至 F 的评级
• Why No Padlock? —— 快速诊断混合内容、证书链等问题
• [Security Headers