【導讀】
正確部署SSL證書是實現(xiàn)網(wǎng)站可信訪問的基礎(chǔ)環(huán)節(jié)。本文提供經(jīng)新網(wǎng)生產(chǎn)環(huán)境驗證的Nginx SSL部署全流程，覆蓋證書準備、配置優(yōu)化與在線校驗三階段。
SSL協(xié)議升級已成為強制性安全基線
NIST已于2023年明確要求TLS 1.2+為最低通信版本。國內(nèi)主流瀏覽器已全面屏蔽HTTP資源加載，并對未啟用HSTS的HTTPS站點標記'不安全'提示。
據(jù)新網(wǎng)客戶服務(wù)數(shù)據(jù)顯示，超67%的企業(yè)故障咨詢源于私鑰權(quán)限設(shè)置錯誤或cipher suite兼容性缺失。
在此處添加配圖
四步完成高可用SSL部署（基于新網(wǎng)頒發(fā)證書）
確認證書文件完整性：確保存在.crt主證書、.key私鑰及中間鏈cert-bundle.crt三個文件；
上傳至服務(wù)器指定目錄并設(shè)定最小權(quán)限：chmod 400 /etc/nginx/ssl/.key；
修改server塊配置，啟用listen 443 ssl指令，引用完整證書路徑與推薦加密套件；
執(zhí)行nginx -t && systemctl reload nginx雙重校驗后，在https://www.ssllabs.com測試A+評級結(jié)果。
新網(wǎng)技術(shù)支持團隊可為客戶遠程協(xié)助完成conf語法審查與OCSP Stapling開啟配置。
常見問題
Q1：為何Chrome仍顯示'連接不是私密鏈接'？
A1：多因缺少中級CA證書合并或系統(tǒng)時間偏差＞3分鐘，請運行date -R核查。
Q2：能否復用同一域名多個子站的SSL證書？
A2：支持通配符證書（.example.com），但需單獨申請并在各server{}中分別指向?qū)?yīng)路徑。