申请SSL证书没有想象那么繁琐。免费渠道有好几种，操作顺利十几分钟就能把网站从HTTP切换成HTTPS。但流程里有几个卡点，提前了解可以节省不少时间。
先确认自身条件。你需要一个可以自主管理DNS解析的域名，也就是能登录域名后台，添加TXT记录或者上传验证文件。主流免费证书平台都要求这一点，没有例外。服务器Web服务配置权限也要具备，不管是Nginx、Apache还是宝塔面板，至少能进入修改配置。另外注意，Let's Encrypt这类机构不支持纯IP地址、内网域名申请证书，域名必须公网可解析。国内服务器对应的域名还要完成备案，未备案域名基本无法走免费证书申请流程。
条件准备妥当，挑选合适的申请方式。
宝塔面板一键申请，操作最简单。 使用宝塔面板的话全程点击操作。登录宝塔后台，左侧进入网站栏目，找到需要加密的站点，点击右侧设置，切换到SSL标签页，选择Let's Encrypt，填写邮箱接收到期提醒，勾选主域名和www子域名，提交申请。证书签发完成直接启用，不用敲命令、手动修改文件。申请时区分DNS验证和文件验证，DNS验证支持泛域名，文件验证只能用于单个精确域名。网站开启CDN的，申请前临时关闭CDN缓存，或者把验证路径设置绕过CDN，防止验证请求被拦截。
阿里云、腾讯云免费证书控制台。 登录云厂商SSL证书管理页面，找到免费证书申请入口，填写域名，选定验证方式，等待几分钟证书签发。阿里云每个账户可以免费申请20张单域名证书，腾讯云免费额度相近。优势是证书和云服务器、CDN兼容性好，签发完成可以在控制台一键部署到负载均衡或者CDN节点。下载证书压缩包，里面一般包含域名证书、中间证书链与安装说明，依照文档部署即可。
Certbot命令行工具。 自己搭建VPS或者Linux服务器，不安装面板，直接在服务器运行Certbot。以Ubuntu为例，先用snap安装certbot，执行命令填写域名与邮箱，Certbot自动完成域名验证并签发证书。申请泛域名证书，加上--preferred-challenges dns参数，系统提示前往域名后台添加TXT记录，等待解析生效后回车继续。这套方式步骤更多，但可控性更强，CA机构、覆盖域名都可以在命令内指定。
三种方式核心步骤都是域名验证。免费证书只核验域名控制权，不核查企业资质。验证分为两种，DNS验证添加TXT解析记录；HTTP文件验证往网站根目录上传HTML文件，保证可以通过HTTP访问。DNS验证适应性更强，不依赖Web服务运行状态，就算Nginx停止服务也不影响验证。
有一项变动需要重点留意。从2026年3月起，所有可信公开SSL证书单张最长有效期从398天缩短至199天，免费证书有效期更短，大多只有90天。意味着不能单纯依靠日历提醒续费，必须配置自动化机制。Certbot支持自动续期，借助cron定时任务执行certbot renew --quiet --post-hook 'systemctl reload nginx'实现证书滚动更新。宝塔面板同样自带自动续期选项，DNS验证申请的证书可以自动续期，手动验证模式到期需要重新申请。
自动续期最常见故障是静默失效。定时任务正常运行，但证书并未更新。诱因包括防火墙拦截80端口、DNS解析变更导致域名指向服务器不对、ACME客户端版本老旧不支持新版协议。排查手段是定期查看续期日志，不要只看任务运行状态。兜底方案设置提前30天提醒，到期前往证书后台确认有效期，几分钟操作就能避免证书过期，浏览器标记网站不安全。
证书签发部署到服务器，Nginx配置有一处容易出错。ssl_certificate指向的文件，需要合并域名证书与中间证书完整链，顺序错误会造成iOS设备访问白屏。修改配置文件不要用restart，改用reload，避免现有连接短暂中断。部署完成打开浏览器查看地址栏锁形图标，提示连接安全就代表部署成功。按下F12调出开发者工具，检查Console面板有没有混合内容警告，如果页面内保留http://图片、脚本链接，浏览器依旧判定站点不安全，这类链接需要一并修改。
免费证书能不能用，取决于业务场景。个人博客、测试站点、内部演示页面，免费证书完全够用，加密强度和付费证书没有区别。但电商、需要用户提交敏感信息的站点，免费证书只核验域名所有权，不核验运营主体身份，用户点击锁图标看不到企业信息。这类场景有必要选购OV证书。