申请SSL证书这件事，听起来像是个技术活，但拆开看就是几个固定步骤走一遍。不管你是个人博客还是企业官网，流程的骨架是一样的，区别只在于中间插进来的验证环节有多复杂。
动手之前有几样东西得先准备好。一个你能完全控制的域名，这是前提。如果你的域名解析权限在别人手里，后面所有验证都没法做。然后是搞清楚自己要哪种证书，个人站或者测试环境用DV就够了，企业官网得选OV，金融支付类才需要上EV。域名架构也得先想清楚，单域名、通配符、多域名，选错了后面要么不够用要么浪费钱。CSR文件可以交给平台自动生成，也可以自己用OpenSSL命令生成，重点是私钥不能外泄，这玩意儿丢了证书就得重新申请，没有补救的余地。
准备工作做完，就可以在CA或者云平台的证书控制台里提交申请了。填域名、选验证方式、确认联系人信息，这些操作本身不复杂。提交之后系统会根据你选的证书类型走不同的验证路径。DV证书最快，快的话几分钟就能签发，因为它只验证一件事——你是不是这个域名的主人。OV和EV就慢得多，因为除了域名所有权，CA还得确认你这家公司是不是真实存在、是不是合法经营。
域名验证是整个流程里最核心的一步。CA不可能你说这个域名是你的就给你发证书，它得通过某种方式确认你对这个域名有实际控制权。目前主流的方式是DNS验证和文件验证两种。
DNS验证的逻辑很直接。CA给你一串特定的文本值，你把这段文本作为一条TXT或者CNAME记录添加到域名的解析里。CA那边会去轮询你的DNS，看到记录匹配上了，就判定验证通过。这种方式最稳妥，通配符证书基本上只能用DNS验证。而且验证记录可以长期保留着，后面续期的时候不用再折腾一遍。如果你的域名托管在腾讯云或者阿里云，可以选择自动DNS验证，系统会直接帮你往解析里加记录，省掉手动操作的步骤。
文件验证适合网站已经上线、能对外访问的场景。CA给你一个带特定内容的文件，你把它放到网站根目录下的.well-known/pki-validation/文件夹里，然后CA通过访问那个URL来确认文件存在。这里有一个坑，文件必须能被公网直接读取，如果你的站点有鉴权、有跳转、或者.htaccess规则把.well-known给拦了，验证就会失败。文件验证还有一个隐性要求，域名得完成备案，没备案的域名放不了这个文件。
OV和EV证书的验证比DV多了一层。域名验证通过之后，CA还要对企业做人工核验。你需要提交公司盖章的确认函，或者营业执照复印件加身份证正反面这些材料。确认函的模板CA会给，填好盖公章扫描上传就行。审核周期通常是三到七个工作日，快的话两三天，慢的话一周也正常。审核期间CA可能会打电话到公司核实信息，注册地址和联系电话得是真实有效的。等人工审核过了，证书才会签发。
证书拿到手之后，部署到服务器上。Nginx的话把证书文件和私钥路径配到ssl_certificate和ssl_certificate_key指令里，Apache的话用SSLCertificateFile和SSLCertificateKeyFile。配完之后重启服务，用浏览器打开网站看看地址栏有没有出现锁形标记。部署这一步本身不复杂，但有一个细节容易忽略，中间证书要一并配置上去，只传服务器证书的话，有些老设备会提示证书链不完整。
最后说一个证书签发之后会持续运行的机制。浏览器每次访问HTTPS网站的时候，都会去检查这张证书有没有被吊销。这个检查走的就是OCSP协议。浏览器从证书里提取出OCSP服务器的地址，发一个包含证书序列号的查询请求过去，服务器返回有效、已吊销或者未知。如果证书被吊销了，浏览器会直接终止连接。OCSP Stapling是把这个过程优化了一下，由服务器提前把OCSP响应缓存下来，客户端连接的时候直接拿走，不用自己再去查一遍，减少了握手时间，也保护了用户隐私。配置OCSP Stapling在Nginx里就是几行指令的事，ssl_stapling on加上ssl_stapling_verify on，再配个resolver就行。