很多新手刚接触HTTPS，会误以为证书类似软件安装包，直接下载就能使用。实际流程不是这样。证书需要先向CA机构发起申请，CA核验域名归属权之后签发证书，拿到证书文件才能部署到服务器。下载只是整套流程末尾步骤，前面还有申请和域名验证环节。
预算有限的场景，Let's Encrypt是主流免费证书方案。它不提供手动下载压缩包，依靠certbot这类工具自动完成申请、域名验证、到期续期。服务器安装certbot，执行对应命令，程序和Let's Encrypt服务通信，校验域名控制权，直接把证书写入本地。默认存放路径/etc/letsencrypt/live/你的域名/，目录内包含fullchain.pem和privkey.pem，Nginx、Apache配置文件直接引用这两个文件。这套方案的优势，证书到期前自动续期，不用手动每三个月更换。
国内云厂商同样提供免费SSL证书。腾讯云、阿里云控制台都有SSL证书管理页面，申请DV证书，填写域名，选择DNS验证，系统生成TXT记录，在域名解析后台添加记录，解析生效之后证书签发。签发完成点击下载，选择对应服务器类型，Nginx、Apache、Tomcat、IIS都有配套压缩包。解压之后一般包含.crt或者.pem证书文件，.key私钥文件，部分包附带中间证书。阿里云、腾讯云免费证书有效期同样90天，到期需要重新申请下载，不支持自动续期。
付费证书申请流程大体相近，只是验证环节更繁琐。在CA机构或者代理商下单，生成CSR文件提交。CSR内包含域名和公钥信息，私钥保存在本地服务器，绝对不能对外发送。DV证书只核验域名所有权，OV、EV证书额外核验企业资质，需要提交营业执照材料，审核耗时几小时到数天不等。签发之后依旧在控制台下载，文件格式和免费证书类似，一般额外附带CA根证书与完整中间证书链。部署时证书链配置不完整，部分浏览器会提示证书不受信任。
内网或者本地测试环境，不想走CA申请流程，可以使用自签名证书。一条openssl命令就能生成。但自签名证书没有第三方CA签名，浏览器访问页面弹出红色安全警告，需要手动确认继续访问。仅适合内部服务、开发调试，不能用于对外公开网站。
下载得到的证书文件存在多种格式。.crt和.pem本质都是Base64编码文本，记事本打开可以看到-----BEGIN CERTIFICATE-----开头标记。.key存放私钥；.pfx和.jks是二进制容器文件，同时打包证书和私钥，Windows IIS、Java Tomcat偏好这两种格式。拿到的文件格式和服务器要求不匹配，可以用openssl做格式转换，比如.pfx转.pem，或是合并.crt和.key生成.pem。
部署到服务器，Nginx配置ssl_certificate指向fullchain文件，ssl_certificate_key填写私钥路径。Apache类似，SSLCertificateFile、SSLCertificateKeyFile填写对应路径，中间证书由SSLCertificateChainFile指定。IIS在管理界面导入.pfx，绑定到站点。部署完成打开网页查看地址栏锁标，还可以用SSL Labs工具检测，确认证书链完整、没有过期、域名匹配无误。
证书本身是文本文件，可以复制分发。但私钥属于核心机密，一旦泄露，其他人就能伪造你的网站。下载后的压缩包不要存放在公共目录，私钥文件权限设置为600，仅root账号可读。申请阶段生成的CSR可以公开，私钥文件严禁上传到任何第三方平台。