# SSL/TLS 原理：HTTPS、证书与 Web PKI 是怎么工作的

> 深入讲解 TLS 1.3 握手、证书链、证书透明度、OCSP/CRL、ACME、CAA、HSTS、mTLS、后量子 TLS 和 47 天证书。

Source: https://ssl.sh/zh/learn/
Last updated: 2026-11-10

这里讲的是 HTTPS 背后的“为什么”：TLS 到底保护了什么，握手如何证明服务器身份，浏览器凭什么信任一张证书，证书又是怎么签发、吊销和续期的。每篇文章开头先给结论，再按需要深入展开，用 Markdown 表格、字符图和真实命令输出代替图片，国内访问也不受影响。

## 文章分组

- **入门基础**：从头讲协议，包括[TLS 是怎么工作的](https://ssl.sh/zh/learn/how-tls-works/)、[TLS 1.3 握手逐条消息解析](https://ssl.sh/zh/learn/tls-handshake/)、[加密套件](https://ssl.sh/zh/learn/cipher-suites/)。
- **证书**：Web PKI 的核心，包括[证书链与信任](https://ssl.sh/zh/learn/certificate-chains/)、[DV/OV/EV 的区别](https://ssl.sh/zh/learn/dv-ov-ev/)、[证书文件格式](https://ssl.sh/zh/learn/certificate-formats/)、[证书透明度 CT](https://ssl.sh/zh/learn/certificate-transparency/)、[OCSP 与 CRL 吊销检查](https://ssl.sh/zh/learn/ocsp-and-crl/)。
- **协议特性**：[TLS 1.3](https://ssl.sh/zh/learn/tls-1-3/)、[HSTS](https://ssl.sh/zh/learn/hsts/)、[双向 TLS（mTLS）](https://ssl.sh/zh/learn/mtls/)。
- **运维实践**：生产环境里怎么管证书，包括[ACME 协议](https://ssl.sh/zh/learn/acme-protocol/)、[证书自动续期](https://ssl.sh/zh/learn/automate-certificate-renewal/)、[CAA 记录](https://ssl.sh/zh/learn/caa-records/)。
- **未来变化**：已经排上日程的变化，包括[47 天证书](https://ssl.sh/zh/learn/47-day-certificates/)、[后量子 TLS](https://ssl.sh/zh/learn/post-quantum-tls/)。

## 资料来源与准确性

每篇文章底部都列出一手来源：IETF RFC、CA/Browser 论坛基线要求与投票、Chrome/Mozilla/Apple 的根证书政策、Let's Encrypt 官方公告和 OpenSSL 手册。还在变化中的事情一律写明“截至 2026 年 11 月”，不猜日期。证书有效期的完整变化见[证书有效期时间线](https://ssl.sh/zh/timeline/certificate-validity/)。国内云厂商（阿里云、腾讯云等）的证书产品同样遵守这些全球规则，文中涉及国内环境的地方会单独说明。