VPS如何安装SSL证书？

SSL证书是实现HTTPS加密的核心，安装后浏览器地址栏出现安全小锁，有利于SEO、保护访客数据，外贸独立站、个人博客都必须配置。VPS安装SSL主要分两种路线：宝塔面板一键部署、命令行手动部署Nginx/Apache。

一、安装前准备工作

1.域名已经解析到VPS公网IP；

2.VPS安全组、防火墙放行80端口（HTTP）、443端口（HTTPS）；

3.证书类型：DV域名验证证书足够建站使用，免费证书推荐Let’sEncrypt，有效期90天，支持自动续签；付费证书稳定性更好、售后完善。

>>注意：自签名证书浏览器会提示不安全，公网网站不要使用。

二、方式一：宝塔面板一键安装

宝塔是VPS建站最常用面板，自动申请、部署、设置续签，操作最简单。

1.登录宝塔面板，进入【网站】，找到对应域名，点击【设置】；

2.切换到【SSL】标签，选择Let’sEncrypt免费证书；

3.勾选域名（主域名+www域名），验证方式：

-文件验证：80端口正常开放，优先选；

-DNS验证：80端口被CDN占用时使用，需要去域名后台添加TXT解析记录；

4.点击申请，等待1分钟自动签发；

5.开启【强制HTTPS】，保存，自动跳转HTTP到HTTPS；

6.宝塔自带定时续签，到期前自动更新证书，不用手动操作。

三、方式二：Nginx手动部署

3.1Certbot一键申请+自动配置

#Ubuntu/Debian

aptinstallcertbotpython3-certbot-nginx-y

#CentOS

yuminstallcertbotpython3-certbot-nginx-y

执行命令，自动申请并写入Nginx配置：

certbot--nginx-dyourdomain.com-dwww.yourdomain.com

执行完成后，会自动配置443、添加HTTPS，同时询问是否开启HTTP跳转HTTPS。

3.2已有证书文件手动配置

拿到证书两个核心文件：`fullchain.pem`（证书链）、`privkey.pem`（私钥）

上传到服务器，例如`/etc/nginx/ssl/`，编辑站点配置：

server{

listen443ssl;

server_nameyourdomain.comwww.yourdomain.com;

ssl_certificate/etc/nginx/ssl/fullchain.pem;

ssl_certificate_key/etc/nginx/ssl/privkey.pem;

ssl_protocolsTLSv1.2TLSv1.3;

}

#HTTP强制跳转

server{

listen80;

server_nameyourdomain.comwww.yourdomain.com;

return301https://$host$request_uri;

}

检查语法，重载Nginx：

nginx-t

systemctlreloadnginx

3.3自动续签

certbot自带定时任务，测试续签：

certbotrenew--dry-run

四、方式三：Apache环境手动配置

证书文件：crt证书、key私钥、ca-bundle中间证书

<VirtualHost*:443>

ServerNameyourdomain.com

ServerAliaswww.yourdomain.com

SSLEngineon

SSLCertificateFile/ssl/xxx.crt

SSLCertificateKeyFile/ssl/xxx.key

SSLCertificateChainFile/ssl/ca-bundle.crt

</VirtualHost>

#80端口跳转

<VirtualHost*:80>

ServerNameyourdomain.com

Redirect301/https://yourdomain.com/

</VirtualHost>

重载服务：`systemctlreloadapache2`

五、安装完成后的验证方法

1.浏览器访问`https://域名`，查看地址栏小锁；

2.在线工具检测：SSLLabs，检查证书链、TLS版本是否合规；

3.检查图片、JS、CSS等资源，避免混合内容（http资源导致小锁消失）；

4.网站内所有链接统一改成https，或者在Nginx添加混合内容修复规则。

六、常见坑点排查

1.打不开443：云服务商安全组没放行443端口，只开了服务器防火墙没用；

2.证书申请失败：域名解析不对、80端口被占用、CDN遮挡源站；

3.证书过期：免费证书90天，自动续签失效会直接报错；

4.小锁感叹号：存在http静态资源，混合内容报错；

5.部署后还是http：没有配置301强制跳转。

FAQ

Q：香港VPS免备案域名可以申请Let’sEncrypt证书吗？

A：可以，证书只验证域名所有权，不需要ICP备案。

Q：CDN接入后，证书放VPS还是CDN？

A：优先在CDN上部署证书，源站VPS可以不用证书，或者配置回源HTTPS。

Q：一个证书可以绑定多个域名吗？

A：可以，多域名SAN证书，申请时带上多个`-d域名`参数。

总结

新手建站优先宝塔一键SSL，省心自动续签；熟悉Linux运维、纯净Nginx环境，用certbot一键部署。无论哪种方式，**一定要开启HTTP强制跳转HTTPS，并且设置自动续签**，避免证书过期网站报错。