浏览器地址栏里那个小锁图标，点开之后页面会提示“连接是安全的”，背后依靠的就是SSL数字证书。SSL的全称是安全套接层，现在技术层面更多把它叫做TLS，只是行业内长期习惯沿用SSL这个叫法。它本质上属于一份数字文件，里面记录网站身份信息，附带一把公钥，由具备可信资质的证书颁发机构签发，作用就是核验你正在访问的站点，确实就是它宣称的那个网站。
没有部署这份证书的时候，你在网页里填写的密码、手机号、银行卡信息，会以明文形式在网络传输。同一条网络链路里，掌握基础技术的人就能截取并读取这些内容。装上SSL证书之后，浏览器会先和服务器完成握手协商，服务器把证书发送给浏览器，浏览器校验证书合法之后，双方协商生成一份仅通信双方知晓的会话密钥，后续所有数据都会依靠这个密钥加密传输。链路中间的第三方拿到的只会是一堆无法解读的乱码。
这套流程用到两类加密方式。握手阶段采用非对称加密，加密和解密使用不同密钥，安全性更强，但运算速度偏慢。等到正式传输业务数据，就切换成对称加密，加密解密共用同一把密钥，传输效率更高，可以承载大量数据实时交互。简单理解，就是先用安全但耗时的方式把会话密钥安全交换，再依靠高速加密通道传输数据，这套组合方案平衡了安全性能和传输效率。
证书同时承担身份核验的作用。当你打开一个标注为“某某银行”的页面，怎么确认它不是钓鱼网站伪造的？CA机构签发证书前，会核验申请者真实身份，证书内包含经过核验的网站域名或者企业名称。浏览器内置一份可信CA清单，每次接收证书都会核对签发机构是否可信、证书是否过期、证书内域名和当前访问域名是否匹配。三项校验全部通过，地址栏的小锁标识才会点亮。
SSL证书按照验证等级划分为三类。DV域名验证证书仅核验域名归属权，不核查企业主体信息，签发速度最快，几分钟到几小时就能完成，个人博客或者测试环境使用这类证书足够。OV组织验证证书会额外核验企业工商资料，证书内写入企业名称，适配企业官网和电商平台，签发周期一般一到三个工作日。EV增强验证证书审核门槛最高，浏览器地址栏会展示完整企业名称，金融支付、政务相关业务才会选用该等级证书，签发周期三到五个工作日。
市面上免费SSL证书基本都属于DV类型，个人网站、开发调试环境、小型项目使用完全够用。2026年，能够申请免费证书的主流平台有下面几个。
Let's Encrypt 是当前全球规模最大的免费证书颁发机构，由非营利组织运营，累计签发证书数量已经突破三亿张。它的证书被全部主流浏览器信任，支持单域名与通配符域名，证书有效期90天。平台全部流程自动化，没有可视化网页操作界面，大多依靠Certbot这类命令行工具在服务器部署。熟悉Linux的用户安装Certbot之后基本可以自动管理，证书临近到期会自动续期，无需人工干预。但如果服务器只是虚拟主机，没有SSH权限，手动申请Let's Encrypt证书的操作会繁琐不少。
阿里云免费证书由阿里云和Digicert合作推出，同样属于DV类型，仅支持单域名。完成实名认证的阿里云账号，每个自然年可以申领20张，每张有效期3个月，到期之后需要重新提交申请。优势在于操作界面是中文，控制台内点选几步就能走完申请流程，如果服务器本身部署在阿里云，证书可以一键挂载，省去手动配置Nginx或者Apache的步骤。需要留意，免费证书不支持通配符域名，也不能一次性保护多个不同域名，仅对填写的主域名生效，填写主域名会自动附带www子域名。
腾讯云免费证书和阿里云方案比较接近，同样在控制台提交申请，选择DNS验证或者文件验证方式。腾讯云一个比较实用的优势是和微信小程序生态适配度高，如果项目包含小程序后端、企业微信相关业务，部署证书阶段会减少很多麻烦。免费证书有效期同样为3个月，平台会在到期前发送提醒，支持一键续期。DNSPod还有独立的免费证书一键申请入口，如果域名解析托管在DNSPod，可以直接从解析控制台跳转申请。
ZeroSSL属于商业化平台提供的免费证书方案，一般当作Let's Encrypt的备选。它最大特点是自带网页管理后台，不用敲命令行就能完成申请，适合不熟悉服务器操作的人群。免费账户最多同时保有3张有效证书，有效期90天。ZeroSSL还支持直接给纯IP地址签发证书，这一点Let's Encrypt无法实现。如果你临时搭建一台只有IP、没有绑定域名的服务器，又需要开启HTTPS，ZeroSSL是可行的选择。它的验证方式也更丰富，除DNS、文件验证之外，还支持邮件验证。
各个平台申请免费证书的整体流程差别不大，核心三步。选定平台注册账号并完成实名认证，提交需要保护的域名，前往域名DNS管理面板添加对应的验证记录，等待几分钟到半小时让解析生效，平台自动校验通过之后就能下载证书。下载的时候务必确认证书格式，Nginx和Apache使用的证书文件不一样，选错格式部署会直接报错。
有几个常见坑最好提前了解。所有免费证书有效期都是90天，不存在更长有效期版本，到期必须续期，忘记续期网站就会弹出安全告警。使用Let's Encrypt搭配Certbot，配置妥当就能自动续期，风险不大。但在云平台手动申领的证书，到期要留意平台提醒，及时重新申请替换。免费证书不附带技术支持与赔付保障，遇到兼容性问题只能自行排查。另外电商交易、用户登录这类存储敏感信息的场景，DV证书信任等级不足，不要单纯为节省成本选用免费证书，该使用OV或者EV证书的业务要按规范部署。
平台选择看自身业务场景。服务器部署在阿里云就优先选阿里云证书，腾讯云服务器优先腾讯云证书，就近部署操作更省事。自己搭建VPS，熟悉命令行环境，Let's Encrypt搭配Certbot是长期稳定的方案。不想操作命令行，也不想绑定云厂商平台，可以尝试ZeroSSL网页后台。无论选择哪一个，优先把HTTPS部署完成本身就很关键，浏览器针对HTTP站点的不安全标记越来越醒目，用户看到红色安全提示大概率直接离开，这个损失远比证书成本更高。