【導(dǎo)讀】
正確部署SSL證書是實(shí)現(xiàn)網(wǎng)站可信訪問的基礎(chǔ)環(huán)節(jié)。本文提供經(jīng)新網(wǎng)生產(chǎn)環(huán)境驗(yàn)證的Nginx SSL部署全流程，覆蓋證書準(zhǔn)備、配置優(yōu)化與在線校驗(yàn)三階段。
SSL協(xié)議升級已成為強(qiáng)制性安全基線
NIST已于2023年明確要求TLS 1.2+為最低通信版本。國內(nèi)主流瀏覽器已全面屏蔽HTTP資源加載，并對未啟用HSTS的HTTPS站點(diǎn)標(biāo)記'不安全'提示。
據(jù)新網(wǎng)客戶服務(wù)數(shù)據(jù)顯示，超67%的企業(yè)故障咨詢源于私鑰權(quán)限設(shè)置錯誤或cipher suite兼容性缺失。
在此處添加配圖
四步完成高可用SSL部署（基于新網(wǎng)頒發(fā)證書）
確認(rèn)證書文件完整性：確保存在.crt主證書、.key私鑰及中間鏈cert-bundle.crt三個文件；
上傳至服務(wù)器指定目錄并設(shè)定最小權(quán)限：chmod 400 /etc/nginx/ssl/.key；
修改server塊配置，啟用listen 443 ssl指令，引用完整證書路徑與推薦加密套件；
執(zhí)行nginx -t && systemctl reload nginx雙重校驗(yàn)后，在https://www.ssllabs.com測試A+評級結(jié)果。
新網(wǎng)技術(shù)支持團(tuán)隊(duì)可為客戶遠(yuǎn)程協(xié)助完成conf語法審查與OCSP Stapling開啟配置。
常見問題
Q1：為何Chrome仍顯示'連接不是私密鏈接'？
A1：多因缺少中級CA證書合并或系統(tǒng)時(shí)間偏差＞3分鐘，請運(yùn)行date -R核查。
Q2：能否復(fù)用同一域名多個子站的SSL證書？
A2：支持通配符證書（.example.com），但需單獨(dú)申請并在各server{}中分別指向?qū)?yīng)路徑。