证书部署与全站加密访问配置，不只是申请一张证书：证书要覆盖实际使用的域名，服务器要正确加载，页面还要统一通过 HTTPS 访问。对新手来说，免费证书适合愿意自行维护服务器的人；托管证书更适合希望由主机或平台代办部署和续期的人。
先分清两类证书的差别
| 比较项 | 免费证书 | 托管证书 |
|---|---|---|
| 费用 | 证书通常免费，但服务器维护和排错仍需自行承担。 | 证书管理可能包含在主机服务中，也可能单独收费；要确认套餐内容。 |
| 部署与续期 | 常由用户配置验证、安装和自动续期。常见公开证书有效期较短，例如 Let’s Encrypt 证书通常为 90 天，具体政策可能调整。 | 平台通常负责签发、安装或续期，但支持哪些域名和服务取决于平台。 |
| 控制权 | 用户通常能直接管理服务器上的证书文件和私钥。 | 平台可能代管私钥，迁移或切换服务时要检查能否导出、重新签发。 |
两者都可以提供浏览器信任的 HTTPS 连接，不能简单理解为“免费不安全、付费更安全”。选择时要看谁负责更新、出错后谁排查，以及证书是否覆盖需要访问的主机名。
按维护能力和架构选择
适合免费证书的情况
你能登录服务器、管理 Web 服务配置，并能确保续期任务持续运行，可以考虑免费证书。以 Linux 服务器上的 Nginx 为例，可使用 Certbot 的 Nginx 插件完成申请和配置；不同发行版的安装方式会有差异，应按对应系统文档操作。此方案灵活、成本低，但系统升级、权限变化或验证失败时，需要自己处理。
适合托管证书的情况
网站托管在提供证书管理功能的主机或网站平台，且希望减少服务器维护，托管证书通常更省事。先核实它是否自动续期、是否覆盖自定义域名、平台是否同时配置 HTTP 跳转，以及更换主机后如何处理证书。若服务前端和源站由不同平台管理，也要分别确认两端的 HTTPS 连接是否有效，不能只看浏览器地址栏。
从申请到全站访问的操作顺序
- 盘点域名：列出用户会实际访问的主机名，检查 DNS 是否指向当前服务。只为实际使用的名称申请证书，避免遗漏管理中的子站点。
- 选验证方式：HTTP 验证通常要求域名能从公网访问相应验证路径；DNS 验证需要在域名解析服务中添加指定记录。通配符证书通常需要 DNS 验证，按证书颁发方的要求操作。
- 安装并检查：让主机控制台或服务器配置加载证书与私钥；自行部署时还要配置完整证书链。确认服务重载成功，并检查浏览器是否提示证书名称不匹配或链不完整。
- 统一访问地址：确认 HTTPS 页面可正常打开，再将 HTTP 请求重定向到 HTTPS。检查页面中的图片、脚本、样式表等资源是否仍通过 HTTP 加载，这类混合内容可能被浏览器拦截。
- 安排续期验证：确认自动续期任务已启用，并在到期前测试续期流程。使用 Certbot 的环境可按其文档进行续期模拟测试；托管服务则查看续期状态和失败通知。
别急着启用 HSTS
全站 HTTPS 稳定后，再考虑启用 HSTS。它会让浏览器在一段时间内优先使用 HTTPS；若仍有未配置证书的子域名，设置过宽可能导致访问故障。新手宜先确认所有入口、跳转和证书续期都正常，再逐步扩大策略范围。
因此，证书部署与全站加密访问配置的选择核心不是证书价格，而是维护责任：能自行管理服务器和续期，选免费证书更灵活；更看重省心、且平台功能满足要求，选托管证书更合适。无论哪一种，都要把域名覆盖、续期和全站资源检查纳入日常维护。
常见问题
免费证书到期后会自动续期吗？
不一定。需要正确设置续期任务、验证条件和服务重载；应主动测试，不能只凭“已安装”判断。
有了证书，HTTP 会自动变成 HTTPS 吗？
不会。还需配置 HTTP 到 HTTPS 的重定向，并检查站内链接和页面资源。
托管证书一定包含在主机费用里吗？
不一定。服务商的套餐、域名数量和管理范围不同，购买前应查看具体条款。
证书部署与全站加密访问配置完成后，怎样判断是否正常？
分别访问各个实际使用的 HTTPS 地址，检查证书名称、浏览器安全提示、HTTP 跳转、页面资源和续期状态。
