自己生成SSL证书最稳妥的方式是使用OpenSSL工具在本地命令行创建自签名证书，或借助Let’s Encrypt的Certbot自动化签发免费证书，前者适合内网测试，后者适合生产环境部署。
在HTTPS普及的今天，给网站加上小绿锁不再是大型企业的专利，很多站长或者开发者在初期搭建服务时，面对昂贵的商业证书动辄几千元的年费，往往选择自己动手，这种“自给自足”的方式不仅能节省成本，还能让你彻底掌握证书的生命周期管理，自生成证书并非简单的点击下一步，它涉及到密钥生成、证书请求、签名颁发等多个技术环节。
自签名证书与免费CA证书的核心区别
在动手之前，必须厘清两个概念：自签名证书和由权威机构签发的免费证书，很多人混淆这两者，导致部署后出现浏览器警告,影响用户体验。
自签名证书：内网测试的利器
自签名证书是指由服务器自己扮演“证书颁发机构（CA）”的角色，用自己的私钥对自己生成的公钥证书进行签名，这种方式完全免费,无需向任何机构申请。
业内专家指出，自签名证书最大的优势在于即时性和控制权，你可以随时生成、随时吊销，且没有域名所有权的严格验证限制，它的致命弱点是信任链缺失，当用户访问使用自签名证书的网站时，浏览器会弹出“不安全”的红色警告页面，因为浏览器内置的根证书库中并没有你的这个“私设CA”。
这种证书适用于以下场景：
- 本地开发环境（localhost）。
- 企业内网服务，如内部OA系统、监控平台。
- 短期测试或演示项目。
Let’s Encrypt证书：生产环境的标配
相比之下，Let’s Encrypt是一个由互联网安全研究小组（ISRG）运营的免费、自动化、开放的证书颁发机构,它提供的证书被所有主流浏览器信任。
行业共识认为，对于面向公众的网站，使用Let’s Encrypt是性价比最高的选择，它通过ACME协议实现自动化验证，用户只需运行一个脚本，即可完成域名验证、证书生成和自动续期，虽然它也是“免费”的，但它背后有强大的信任背书,用户访问时不会看到任何安全警告。
使用OpenSSL生成自签名证书实操指南
如果你只是需要在本地或内网环境中快速启用HTTPS，OpenSSL是最佳选择，整个过程通常在Linux终端或Windows的Git Bash中进行。
第一步：生成私钥
私钥是证书的灵魂，必须妥善保管,使用以下命令生成一个2048位的RSA私钥：
openssl genrsa -out server.key 2048
这条命令会在当前目录下生成一个名为server.key的文件，为了安全起见，建议设置文件权限,仅允许所有者读写：
chmod 600 server.key
第二步：生成证书签名请求（CSR）
CSR包含了你的公钥以及组织信息，虽然自签名证书不需要提交给CA,但生成CSR有助于规范证书中的字段信息。
openssl req -new -key server.key -out server.csr
执行后，系统会提示你输入一系列信息，如国家、省份、城市、组织名等，对于自签名证书，这些信息主要起标识作用，可以随意填写，但“Common Name（通用名称）”必须填写你的域名或服务器IP地址，如果是本地测试，可以填localhost；如果是内网服务器，填168.1.100。
第三步：自签名生成证书
最后一步，使用刚才生成的私钥和CSR,直接签发一个有效期为365天的自签名证书。
openssl x509 -req -days 365 -in server.csr -signkey server.key -out server.crt
你会得到两个关键文件：server.key（私钥）和server.crt（公钥证书），将这两个文件部署到你的Web服务器（如Nginx或Apache）配置中,重启服务即可生效。
自动化部署Let’s Encrypt证书的最佳实践
对于生产环境，手动管理证书续期是一项繁琐且容易出错的工作，Certbot是目前最流行的Let’s Encrypt客户端,它能极大简化这一过程。
安装Certbot
不同Linux发行版的安装命令略有不同,以Ubuntu为例：
sudo apt update sudo apt install certbot python3-certbot-nginx
如果你使用的是Nginx，安装python3-certbot-nginx插件可以让Certbot自动修改Nginx配置,实现无缝切换。
一键申请与配置
确保你的域名已经解析到服务器IP，并且80端口畅通,然后执行以下命令：
sudo certbot --nginx -d yourdomain.com -d www.yourdomain.com
Certbot会自动完成域名所有权验证（通过HTTP-01挑战），生成证书，并修改Nginx配置文件以指向新的证书路径，它还会自动配置HTTP到HTTPS的重定向,确保所有流量都加密传输。
自动续期机制
Let’s Encrypt证书有效期仅为90天，Certbot会在系统中安装一个定时任务（cron job），每天随机时间检查证书是否即将过期，如果剩余天数少于30天，它会自动尝试续期并在成功后重载Web服务,你可以通过以下命令测试续期脚本是否正常工作：
sudo certbot renew --dry-run
常见问题与避坑指南
在实际操作中，很多细节容易被人忽视,导致证书部署失败或安全隐患。
问题
即使部署了SSL证书，如果页面中引用的图片、CSS或JavaScript文件仍然使用HTTP协议，浏览器仍会标记为“部分加密”，务必检查所有资源链接,确保它们都使用HTTPS或相对路径。
证书链完整性
在Nginx配置中，通常需要指定ssl_certificate（证书文件）和ssl_certificate_key（私钥文件），对于Let’s Encrypt，建议使用fullchain.pem作为证书文件，因为它包含了中间证书,能确保在所有客户端上都能正确验证信任链。
自签名证书在移动端的兼容性问题
iOS和Android设备对自签名证书的支持较为严格，如果在移动端APP或WebView中使用自签名证书，可能需要手动将证书安装到设备的信任存储中，或者在代码中禁用SSL证书验证（仅限测试环境，严禁生产环境使用）。
自己生成SSL证书怎么弄
自签名证书适合哪些具体场景
自签名证书主要适用于内部系统开发、API接口测试以及本地前端调试，在这些场景中，开发者拥有服务器的完全控制权，且访问者数量有限，因此可以忽略浏览器警告，或者通过手动信任证书来解决，对于任何面向公众的商业网站、电商平台或涉及用户隐私的服务，绝对不建议使用自签名证书,因为信任缺失会导致用户流失和数据泄露风险。
免费证书和商业证书哪个更划算
从价格上看，Let’s Encrypt等免费证书显然更划算，因为它是零成本，但从维护成本来看，如果缺乏自动化运维能力，手动管理免费证书的续期可能会带来隐性的人力成本，商业证书通常提供域名验证（DV）、企业验证（OV）或扩展验证（EV），其中OV和EV证书能展示企业真实身份，增强用户信任感，对于中小企业，如果具备基本的运维能力，免费证书是首选；对于大型金融机构或政府网站,商业证书提供的身份背书和保险服务则是必要的投入。
如何确保自生成证书的安全性
无论使用哪种方式，私钥的安全都是重中之重，私钥一旦泄露，攻击者可以冒充服务器进行中间人攻击，私钥文件必须严格限制访问权限，建议权限设置为600，定期轮换密钥对，避免长期使用同一组密钥，对于生产环境，建议启用HSTS（HTTP严格传输安全）策略，强制浏览器只通过HTTPS访问，防止降级攻击，监控证书的过期时间，设置提前预警,避免因证书过期导致的服务中断。
首发原创文章，作者：世雄 - 原生数据库架构专家，如若转载，请注明出处：https://idctop.com/article/424765.html
