阿里云ECS云服务器HTTPS证书配置完全指南：从申请到部署全流程解析

apphuang2026年07月13日 15:20:307

1. HTTPS部署的背景与核心意义

在当今互联网环境中，网站安全性已成为用户信任的基石。传统的HTTP协议以明文方式传输数据，面临着信息泄露、内容篡改、中间人攻击等严重安全风险。主流浏览器会对未启用HTTPS的网站标记为“不安全”，这不仅直接影响用户的访问意愿，还会对搜索引擎排名产生负面影响。

HTTPS协议基于SSL/TLS加密体系，能够实现数据传输加密、服务器身份校验以及通信防篡改，是现代网站、Web系统和线上服务的必备基础配置。为阿里云ECS云服务器配置HTTPS证书，不仅能够加密数据传输、保障用户隐私安全，还能显著提升网站的专业形象和SEO权重。

基于ECS云服务器部署HTTPS，是目前最通用、最稳定的全站加密方案，适配各类企业官网、个人站点、后台管理系统、API服务前端页面等场景。整套部署流程标准化、可复用，核心分为三大阶段：SSL证书申请与域名验证、证书下载与服务器上传、Web服务配置HTTPS加密与强制跳转，最后完成功能校验与安全优化。全程无需复杂架构改造，即使零基础运维人员也可按步骤完成。

需要先登录阿里云控制台，点击：阿里云控制台

2. SSL/TLS证书基础与选型

2.1 什么是SSL/TLS证书

SSL（Secure Sockets Layer）及其后继者TLS（Transport Layer Security）是一种加密协议，用于在客户端与服务器之间建立安全的通信通道。SSL证书由CA（证书颁发机构）签发，包含网站的公钥、域名信息、颁发机构及有效期等数据。当用户通过HTTPS访问网站时，浏览器会验证证书的合法性，并与服务器协商加密密钥，从而确保数据传输的机密性和完整性。

2.2 阿里云SSL证书的类型

阿里云数字证书管理服务（原SSL证书服务）提供多种类型的SSL证书，主要分为以下几类：

个人测试证书（免费版）：由DigiCert颁发，为DV（域名验证型）单域名证书。每个阿里云账号在一个自然年内可免费领取20张，有效期90天（3个月）。适合个人博客、开发测试环境等非生产场景。免费版SSL证书到期后不支持续费，需要重新申请。

个人测试证书（Pro）：付费版本，有效期12个月，提供更长的证书周期和更多的技术支撑。

正式证书：包括DV、OV（组织验证型）、EV（扩展验证型）等多种级别，支持单域名、多域名和通配符域名，有效期通常为1年。DV证书仅验证域名所有权，签发速度快（1至15分钟），价格较低。OV证书需要验证企业真实性，证书中显示企业信息，签发时长约5个自然日。EV证书为最高级别验证，提供最高信任度，签发时长约5个自然日。适用于企业官网、电商平台、金融系统等对安全要求较高的生产环境。

对于大多数个人站长和中小企业，个人测试证书（免费版）已能满足基本的HTTPS加密需求。如需更长的有效期或更高的安全级别，可考虑购买付费证书。

3. 申请SSL证书

3.1 准备工作

在申请SSL证书之前，需要完成以下准备工作：

已完成阿里云账号的实名认证
拥有一个已备案的域名（如服务器位于中国内地）
域名已添加DNS解析记录，指向ECS实例的公网IP地址
已在ECS安全组中放行443端口

3.2 申请个人测试证书（免费版）

步骤一：进入数字证书管理服务控制台

登录阿里云控制台，在顶部搜索框输入“SSL证书”或“数字证书管理服务”，进入证书管理页面。

步骤二：领取免费证书额度

在左侧导航栏选择“证书管理” → “SSL证书管理”，点击“个人测试证书（原免费证书）”页签，然后点击“立即购买”。在购买面板中保持默认选项，勾选服务协议后完成0元支付。

步骤三：创建证书并提交申请

在“个人测试证书”页签点击“创建证书”，填写以下信息：

域名名称：输入需要绑定证书的域名，例如example.com。系统会自动包含www.example.com的SAN扩展
域名验证方式：可选择“自动DNS验证”、“手动DNS验证”或“文件验证”三种方式

其中自动DNS验证适配域名在同一平台管理的用户，系统可自动添加解析记录，全程无需手动操作，成功率最高。如果当前阿里云账号与域名的云解析DNS服务所在账号一致，系统会自动识别为自动DNS验证，购买后系统会自动进行DNS验证，只需等待证书签发即可。手动DNS验证需要用户自行在域名管理后台添加指定的TXT解析记录。文件验证则需要在网站根目录上传验证文件，适合无法修改DNS解析的特殊场景。

填写完成后提交审核，常规情况下数分钟内即可完成域名所有权校验，校验通过后系统自动签发SSL证书。

4. 证书下载与服务器文件准备

证书签发完成后，需要根据服务器Web服务类型下载对应格式的证书文件。以最主流的Nginx服务为例，下载后会得到两个核心文件：

证书文件（通常以.pem或.crt为扩展名）：包含服务器证书和中间证书链
私钥文件（通常以.key为扩展名）：证书对应的私钥，需妥善保管

在数字证书管理服务控制台的SSL证书管理页面，定位到目标证书，在操作列点击“更多”，然后选择“下载”。根据服务器类型选择对应的证书格式，如Nginx、Apache、Tomcat、IIS等。下载的证书压缩包需解压后使用。

将证书文件和私钥文件上传到ECS服务器。可以使用远程登录工具（如PuTTY、Xshell）配合文件传输功能，或使用WinSCP等图形化工具进行上传。建议将证书文件存放在安全目录，如/etc/nginx/ssl/或/etc/apache2/ssl/，并设置适当的文件权限（如600）以保护私钥安全。

5. 在Nginx服务器上部署SSL证书

Nginx是目前最主流的Web服务器之一，以下以Linux环境下的Nginx为例，详细说明SSL证书的部署步骤。

5.1 确认Nginx已安装并支持SSL

首先确认Nginx已安装且编译时包含了SSL模块。可通过以下命令检查：

nginx -V 2>&1 | grep -o with-http_ssl_module

如果输出包含with-http_ssl_module，则表示Nginx支持SSL功能。

5.2 配置SSL证书

编辑Nginx配置文件（通常在/etc/nginx/conf.d/或/etc/nginx/sites-available/目录下）。在server块中添加或修改以下配置：

server {
    listen 443 ssl http2;
    server_name example.com www.example.com;

    ssl_certificate /etc/nginx/ssl/example.com.pem;
    ssl_certificate_key /etc/nginx/ssl/example.com.key;

    ssl_protocols TLSv1.2 TLSv1.3;
    ssl_ciphers HIGH:!aNULL:!MD5;
    ssl_prefer_server_ciphers on;

    root /var/www/html;
    index index.html index.htm;
}

配置说明：

listen 443 ssl http2;：监听443端口，启用SSL和HTTP/2协议
ssl_certificate：指定证书文件的路径
ssl_certificate_key：指定私钥文件的路径
ssl_protocols：指定支持的TLS协议版本，建议只启用TLSv1.2和TLSv1.3，禁用不安全的TLSv1.0和TLSv1.1
ssl_ciphers：指定加密套件
ssl_prefer_server_ciphers：优先使用服务器端的加密套件顺序

5.3 配置HTTP强制跳转HTTPS

为了确保所有流量都通过HTTPS传输，需要配置HTTP到HTTPS的强制跳转。在Nginx配置中添加以下server块：

server {
    listen 80;
    server_name example.com www.example.com;
    return 301 https://$host$request_uri;
}

这样当用户通过HTTP访问网站时，会被301永久重定向到对应的HTTPS地址。

5.4 验证配置并重启Nginx

在修改配置文件后，应先验证配置语法是否正确：

nginx -t

如果输出syntax is ok和test is successful，则表示配置无误。然后重新加载Nginx配置使其生效：

nginx -s reload

6. 在Apache服务器上部署SSL证书

对于使用Apache作为Web服务器的用户，部署步骤略有不同。

6.1 安装mod_ssl模块

首先需要确保Apache已安装mod_ssl.so模块（启用SSL功能）。如未安装，可执行以下命令安装：

sudo yum install -y mod_ssl

安装后，可通过以下命令检查模块是否安装成功：

httpd -M | grep 'ssl'

6.2 配置SSL证书

编辑Apache的SSL配置文件（通常是/etc/httpd/conf.d/ssl.conf或/etc/apache2/sites-available/default-ssl.conf）。添加或修改以下配置：

<VirtualHost *:443>
    ServerName example.com
    ServerAlias www.example.com

    SSLEngine on
    SSLCertificateFile /etc/apache2/ssl/example.com.crt
    SSLCertificateKeyFile /etc/apache2/ssl/example.com.key
    SSLCertificateChainFile /etc/apache2/ssl/example.com_chain.crt

    DocumentRoot /var/www/html
</VirtualHost>

配置说明：

SSLEngine on：启用SSL引擎
SSLCertificateFile：指定服务器证书文件的路径
SSLCertificateKeyFile：指定私钥文件的路径
SSLCertificateChainFile：指定证书链文件的路径（如需要）

6.3 配置HTTP跳转HTTPS

在Apache中，可以通过.htaccess文件或VirtualHost配置实现HTTP到HTTPS的强制跳转。在HTTP的VirtualHost中添加重定向规则：

<VirtualHost *:80>
    ServerName example.com
    Redirect permanent / https://example.com/
</VirtualHost>

6.4 重启Apache

配置完成后，重启Apache服务使配置生效：

sudo service httpd restart

或

sudo systemctl restart httpd

7. 进阶优化配置

7.1 启用HTTP/2协议

HTTP/2能够显著提升网站加载速度。在Nginx中，只需在listen指令中添加http2参数即可：

listen 443 ssl http2;

7.2 SSL加密套件优化

为了获得更好的安全性与性能平衡，建议对SSL加密套件进行优化配置：

ssl_ciphers ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:DHE-RSA-AES128-GCM-SHA256:DHE-RSA-AES256-GCM-SHA384;
ssl_session_cache shared:SSL:10m;
ssl_session_timeout 10m;

7.3 开启HSTS（HTTP严格传输安全）

HSTS可以强制浏览器在指定时间内只通过HTTPS访问网站，有效防止SSL剥离攻击：

add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;

8. Let's Encrypt免费证书的自动化方案

除了阿里云提供的免费证书外，Let's Encrypt也是广受欢迎的免费证书颁发机构，其证书有效期为90天，但可以通过Certbot工具实现自动化申请和自动续期。

8.1 安装Certbot

以CentOS系统为例：

sudo yum install epel-release
sudo yum install certbot python3-certbot-nginx

对于Ubuntu/Debian系统：

sudo apt-get update
sudo apt-get install certbot python3-certbot-nginx

8.2 申请证书

使用Certbot自动申请并配置Nginx证书：

sudo certbot --nginx -d example.com -d www.example.com

Certbot会自动完成域名验证、证书签发和Nginx配置更新。

8.3 配置自动续期

Let's Encrypt证书有效期为90天，需要定期续期。Certbot提供了自动续期功能，可以通过cron定时任务实现：

sudo certbot renew --dry-run

测试续期命令无误后，将续期命令加入crontab定时任务：

0 0 * * * /usr/bin/certbot renew --quiet

这样系统会在每天凌晨自动检查证书有效期，并在到期前自动续期。

9. 安全组配置与端口放行

在阿里云ECS上部署HTTPS，必须确保安全组规则中放行443端口。HTTPS流量使用443端口，如果该端口被阻止，浏览器将无法建立安全连接。

9.1 配置安全组规则

登录阿里云ECS控制台，进入实例管理页面。找到需要配置的实例，点击“更多”按钮，选择“安全组”。在安全组页面，点击“添加规则”，选择“自定义TCP规则”。配置以下参数：

授权策略：允许
协议类型：自定义TCP
端口范围：443/443
授权对象：0.0.0.0/0（允许所有IP访问，或根据实际需要限制IP范围）
优先级：1（数字越小优先级越高）

同时，如果配置了HTTP跳转HTTPS，也需要放行80端口。

10. 常见问题排查

10.1 证书部署后网站仍显示“不安全”

可能原因与解决方案：

443端口未放行：检查ECS安全组规则，确认已添加入方向TCP 443端口规则
证书已过期：使用openssl x509 -in server.crt -noout -dates检查证书有效期
证书链不完整：确保在配置文件中正确设置了证书链文件
私钥与证书不匹配：使用以下命令验证私钥与证书是否匹配：
```
openssl x509 -noout -modulus -in server.crt | openssl md5
openssl rsa -noout -modulus -in server.key | openssl md5
```
两个命令输出的MD5值应完全一致
配置文件语法错误：使用nginx -t（Nginx）或httpd -t（Apache）检查配置文件语法
网站未完成ICP备案：如果服务器位于中国内地，网站必须完成ICP备案才能正常访问

10.2 证书部署后HTTPS无法访问

排查步骤：

确认ECS安全组已放行443端口
确认服务器防火墙未阻止443端口（如firewalld或iptables）
确认Web服务已正确监听443端口：netstat -tlnp | grep 443
确认证书文件路径正确且文件可读
查看Web服务错误日志（如/var/log/nginx/error.log）获取详细错误信息

10.3 证书到期提醒与续期

阿里云个人测试证书（免费版）有效期为90天，到期后不支持续费，需要重新申请。建议在证书到期前（通常提前30天）重新申请并部署新证书。对于付费证书，可在数字证书管理服务控制台中开启自动续费功能。对于Let's Encrypt证书，通过Certbot的cron定时任务可实现自动续期。

11. 结语

为阿里云ECS云服务器配置HTTPS证书是保障网站安全、提升用户体验和搜索引擎排名的必要步骤。本文从SSL/TLS证书的基础概念出发，系统讲解了阿里云免费证书与付费证书的选型对比、个人测试证书的申请流程、证书下载与上传方法，以及Nginx和Apache两大主流Web服务器上的手动部署步骤。同时涵盖了强制HTTP跳转HTTPS、HTTP/2协议启用、SSL加密套件优化等进阶配置，并提供了Let's Encrypt的Certbot自动化方案作为阿里云免费证书的补充选择。

在实际部署过程中，遇到问题不必慌张，按照本文第十部分的排查思路逐一检查——从安全组443端口放行、证书文件路径、配置文件语法到证书有效性验证——大多数问题都能快速定位并解决。希望本文能帮助你顺利完成ECS服务器的HTTPS加密配置，为你的网站或应用构筑一道坚实的安全防线。