阿里云SLB配置HTTPS证书，不少人踩坑不是不会上传证书，而是上传完就以为全部搞定。证书上传至数字证书管理服务只是第一步，想要443端口承载加密流量，还需要在监听配置，把证书绑定到对应的HTTPS监听。漏掉这个步骤，浏览器访问依旧提示不安全。
先说证书上传规则。阿里云平台购买的证书，签发完成后直接在数字证书管理服务控制台查看，无需手动上传。第三方CA签发证书，需要手动上传文件。阿里云仅支持PEM格式，后缀.pem或.crt，PFX、JKS这类格式，要用平台自带工具完成格式转换。粘贴证书内容要留意顺序，服务器证书放在第一段，中间证书第二段，根证书第三段，不能存在空行，64字符换行不能删除。私钥单独粘贴，不能带密码。私钥加密的情况下，执行openssl rsa -in encrypted.key -out decrypted.key去除密码，带密码的私钥SLB无法接收。
上传完成，进入负载均衡控制台证书管理页面，创建证书。证书类型这里有区分：单向认证选择服务器证书，上传证书内容和私钥即可；双向认证除服务器证书外，额外上传CA证书，校验客户端证书合法性。绝大多数网站只用单向认证，客户端校验服务器身份，服务器不校验客户端。双向认证多用于银行系统、内部API网关，普通站点不需要配置。
证书就绪后创建HTTPS监听。协议选定HTTPS，端口填写443，SSL证书下拉选择刚刚上传的证书。后端协议默认HTTP，该配置代表SSL卸载在SLB完成，加解密交给SLB处理，后端ECS接收明文流量，降低服务器CPU负载。业务有端到端加密硬性需求，后端协议修改为HTTPS，SLB仅转发流量不解密，后端服务器也需要部署证书。
很多人误解DV、OV、EV证书的加密强度差异，实际上加密能力没有区别，差别在于验证深度和浏览器展示效果。DV证书只核验域名所有权，签发速度快，十分钟到一小时就能完成，个人博客、测试环境适用。OV证书核验企业真实主体，证书详情展示企业名称，签发周期1到5个工作日，适合中小企业官网、电商站点，用户查看证书详情能看到企业注册信息，信任感更强。EV证书审核标准最严格，多用于金融、支付、政务系统。主流浏览器已经取消绿色地址栏企业名称展示，企业信息移动至证书详情面板，EV证书视觉层面的优势大幅减弱，剩余价值集中在合规要求与法律效力。
域名覆盖范围是选型另一维度。单域名证书只保护单个域名，例如www.example.com。通配符证书保护同一主域下全部同级子域名，*.example.com覆盖blog.example.com、api.example.com。子域名数量多，通配符证书比逐个申请单域名证书省事，续期一次就能覆盖全部子域名。EV证书不支持通配符，属于行业标准限制，想要通配能力只能选OV证书。多域名证书可以包含多个独立主域，比如a.com、b.com，适合持有多个独立品牌域名的场景。
免费证书可以绑定SLB，但要清楚限制。阿里云个人测试免费证书属于DV单域名证书，有效期90天，单账号每年最多申领20张。绑定SLB可用，但90天到期就要重新申请、上传、绑定，手动维护一年要操作四次。免费证书没有SLA保障，OCSP异常、证书临时吊销没有兜底方案。个人小站、测试环境用免费证书没问题；生产环境不想频繁维护，选购OV证书更省心。
多域名场景SLB处理逻辑取决于证书类型。单个SLB实例托管多个HTTPS站点，每个站点绑定独立证书，需要SNI。ALB支持基于域名的SNI多证书绑定，创建监听选定默认证书，监听证书管理页面添加扩展证书，每个扩展证书绑定对应域名。访问请求抵达，SLB读取客户端Hello里SNI字段，返回匹配证书。CLB支持基础证书绑定，但七层能力偏弱，不支持基于域名、URL路径的精细化转发。多站点共用同一个SLB实例，ALB比CLB更合适。
证书到期替换操作不算复杂。证书管理页面找到即将过期证书，点击替换，粘贴新证书内容与私钥覆盖原有内容，保存即可。SLB监听不用重建，替换证书后自动生效。替换操作必须同时更新证书和私钥，只修改其中一项会认证失败。开启证书托管，阿里云到期前自动续期替换，无需手动操作。未开启托管，到期前30天系统推送提醒，看到提醒及时更换，不要拖到到期当天。
最后提一处容易忽略的排查点。HTTPS监听配置完成浏览器依旧报错，不要直接查看后端ECS日志。优先检查三件事：证书是否成功绑定监听、证书链是否完整、访问域名和证书内域名是否匹配。第三点最常见，购买www域名证书，直接用裸域名访问，SLB返回证书，浏览器判定域名不匹配。使用curl --resolve，把SLB公网IP和域名绑定测试，直接查看返回证书subject字段内域名，比浏览器反复测试效率更高。