SSL 证书 （TLS 证书）

SSL 证书更准确的叫法是 TLS 证书，本质是一张 X.509 证书：其中写明可用于哪些域名或 IP（SAN 列表），并包含服务器公钥、签发者、序列号、有效期和各类扩展，整体由 证书颁发机构 用自己的私钥签名。与之配对的私钥只保存在服务器上，不包含在证书里。

为什么重要

TLS 握手时，服务器把证书和中间证书一起发给客户端；客户端沿签名链验证到受信任的根证书，检查访问的域名是否在 SAN 中、当前时间是否在有效期内，任何一步失败都会弹出警告。按验证程度，证书分为 DV（只验证域名控制权）以及 OV、EV（还要验证企业信息）。截至 2026 年 11 月，2026-03-15 起签发的公网 TLS 证书最长有效期为 200 天，2027-03-15 起降到 100 天，2029-03-15 起降到 47 天，手工续期越来越不现实。在阿里云、腾讯云等平台购买或领取的证书，真正的签发者仍是背后的 CA。

例子

打印线上证书的主体、签发者、有效期和 SAN 列表：

openssl s_client -connect example.com:443 -servername example.com </dev/null 2>/dev/null \
  | openssl x509 -noout -subject -issuer -dates -ext subjectAltName

常见误区

• 数据是用证书加密的。 实际的数据加密使用握手协商出的会话密钥，证书负责证明服务器身份。
• OV、EV 证书加密强度更高。 加密强度取决于密钥和密码套件，与验证级别无关。
• 一张证书只能装在一台服务器上。 证书绑定的是域名而不是机器，同一证书和私钥可以部署到多台服务器或 CDN 节点。