一、动手之前，先厘清几个被混用的概念

1.1 隧道与通行证：协议和证书是两回事

不少人把两者混为一谈。通俗地说，加密传输协议负责在浏览器与服务器之间打通一条"隧道"，让数据在其中安全穿行；而数字证书则是站点出示的"通行证"，用来回答"你连上的，是不是你要找的那一家"。前者管通道，后者管身份，两者配合，地址栏那把小锁才会亮起。

1.2 通行证由谁来开：签发机构与信任链

证书不能自己出具，须由具备公信力的签发机构颁发；机构自身的凭证又由更上一级的根来背书。这条逐级上溯的关系被称为信任链，浏览器正是顺着它一路核对，才敢给出"可信"的判断。

1.3 三个最容易混淆的词

1.3.1 单域名、多域名与通配

这是"覆盖多少个名字"的差别：单域名只保一个指定名字；多域名把若干指定名字合进一张凭证；通配则以某种规则一次覆盖同一层级下的所有派生名字。名字在清单之外，即使装了也不被认可。

1.3.2 验证级别≠加密强度

入门级别的核验主要确认"域名在你手上"，流程自动、速度很快；更高级别还要核实机构身份，并把单位信息写进凭证。需要留意的是，级别影响的是身份被核实的详尽程度，而非加密本身强不强——这一点常被误解。

1.3.3 公钥公开，私钥自家藏着

证书里带着可公开的钥匙片段发送给来访者，与之配套的私钥则始终留在自己的服务器上。二者成对生成、成对使用，一旦错配，加密握手就无法完成。

二、第一段履历：提交申请，把名字写对

2.1 先备齐三样东西

开局顺不顺，多半取决于准备是否充分：

① 域名：确认要保护的名字，并保证其解析状态正常；

② 服务器：明确证书最终要落在哪一台主机、哪一层入口之上；

③ 联系方式：用于接收核验进展与到期提示的邮箱或消息通道。

2.2 域名清单怎么列才不留缺口

这是后续返工最多的一环。列清单时有三个习惯值得养成：

① 把主名称、常用访问别名以及正在使用的业务子域一并列出，避免只写一半；

② 名字不多且相对固定，用多域名类型一次覆盖，管理起来清爽；

③ 子域较多或还在持续增加，通配类型更从容，后续新增不必反复重开。

2.3 在这一步做出级别选择

个人博客、展示型官网、开发与联调环境，入门级别的基础凭证已能很好地完成任务；若页面涉及会员登录、交易结算或提交个人信息的表单，建议选择需要核实单位身份的高一级别凭证，让访问者一眼可以辨明来路。起步用基础、成长后再升级，是被广泛采用的稳妥路径。

2.4 生成签发请求文件

在服务器上准备好那一对钥匙，并生成一份签发请求文件提交给签发机构；它记录了要保护的名字与必要的主体信息。这份请求在哪里生成，签回来的凭证就应当与管理它配套使用，中途切勿"另起炉灶"。

三、第二段履历：通过核验，证明域名在你手上

3.1 核验究竟在验什么

签发机构并不是质疑你的身份，而是要确认一件事：你是否真的掌控这个域名。这是整套信任体系的地基——只有能掌控域名的人，才配得到与之绑定的凭证。

3.2 两种常见做法

① 在域名解析记录里添加一条指定的验证信息，由签发系统自动查询比对；② 在站点指定目录下放置一个指定内容的验证文件，由系统主动来取。前者适合能便捷管理解析记录的场景，后者则适合暂时不方便改动解析配置的情况。

3.3 迟迟不通过，通常就这三条原因

① 记录值手打时多了空格或少了字符——整段复制是最省事的防错办法；② 解析刚完成变更，各地同步有先后，稍候片刻再发起通常即可通过；③ 采用放置文件的方式时，访问路径被服务器规则挡住，导致系统读取不到。建议先用查询工具确认已经能读到，再发起核验，避免反复重试触发等待。

3.4 通过之后发生了什么

核验一旦通过，签发流程随即启动并返回凭证与必要的中间凭证。从这一刻起，这张哨兵证正式生效，接下来就轮到它上岗。

四、第三段履历：部署上岗，把钥匙放进锁孔

4.1 你拿到的通常不止一个文件

除了站点自身的凭证，还有承载背书关系的中间层凭证。只装前者而漏掉后者，部分浏览器会因为追溯不到完整来路而不予认可，表现就是"明明装了，小锁还是不肯亮"。

4.2 装在哪一层，先想清楚

加密可以在多个位置落地：

① 直接落在网站服务器上，适合架构简单、入口单一的场景；

② 落在负载均衡或反向代理层，后端保持原有方式，便于集中更换与管理；

③ 落在内容分发与边缘节点，让握手在离访客更近的地方完成，体验更利落。

选择哪一层没有标准答案，关键是把入口收敛清楚，避免多处各装一份、彼此不同步。

4.3 上线后的三查

部署完成不等于万事大吉，值得固定做三件事：

① 访问主名称与常用别名，确认小锁均已出现；

② 打开凭证详情，核对名字清单、有效期与签发机构是否对得上；

③ 抽查含表单与登录的页面，确认整页资源都走了加密通道，而非"半加密"。

五、第四段履历：它不是永恒的，到期需要换防

5.1 有效期为何越来越短

近年来业界倾向于缩短凭证的有效时长，行业的通行做法是让有效期落在一年以内，部分基础类型更短。出发点很朴素：凭证更新得勤，信息就更贴近当下的真实情况，一旦出现变更也能更快完成更替。

5.2 到期之前要做的事

值班表要提前排好：

① 建立台账，记录每张凭证的使用位置、名字清单与到期时点；

② 打开提示通道，让系统在临近到期时主动发出通知；

③ 选在业务低峰完成换防，把对访问的影响降到不易察觉的程度。

5.3 换防不影响业务的三个动作

① 先并行：新凭证到位后先在预发布环境验一遍，确认与小锁相关的一切正常；② 再切换：按入口逐台更换，边换边看监控指标是否平稳；③ 后归档：把替换下来的旧凭证与配置做一次留存记录，便于日后追溯与比对。

5.4 凭证多了，集中托管是必然

站点一旦多起来，散落各处的文件很快就会超出人脑的管理半径：谁签发、何时到期、装在哪一层，靠记忆迟早出岔子。集中托管配合统一的到期提醒，能把这类隐性风险压到最低。

六、天翼云如何把这几段履历串成一条顺路

6.1 类型齐全，按需取用

天翼云SSL证书服务覆盖域名验证型、组织验证型与扩展验证型等多种级别，并提供单域名、多域名与通配等覆盖方式。入门场景可直接取用基础凭证，触及敏感交互时再选择核实身份更深的级别，起步与成长两个阶段都能找到对应位置。

6.2 申请与核验一站式

从选择类型、填写名字清单、完成归属核验到获取凭证，天翼云把流程梳理成清晰的几步；配合证书管理服务的集中查看与下载，用户不必在多个环节之间来回搬运文件，配置负担大幅下降。

6.3 集中托管与到期提醒

证书管理服务将多张凭证归入同一处管理，支持统一查看状态、跟踪到期时点并发出提示；配合便捷的云上部署能力，可把凭证分发至相应的云上资源，让"长期值守"这件事有人替你盯着。

6.4 融入云安全的一整套体系

证书从来不是孤立存在的。天翼云将SSL证书服务与云防火墙、安全加固等能力协同起来，形成从传输加密到边界防护的多层次保障，让加密真正落在实处，而不是止步于"装了一张凭证"。

6.5 国家云的合规背书

作为国家云，天翼云具备完备的安全合规资质与安全防护体系，为政企客户的站点身份核验与数据保护提供可靠依托。

七、荣誉与认可：实力经受检验

天翼云的云安全与智算服务能力屡获权威认可：先后入选"央企十大超级工程"、荣获中国算力大会"算力中国·年度突破成果"奖、获评数字中国建设峰会"十大硬核科技"，并荣获世界互联网大会"杰出贡献奖"，相关成果亦曾获得中国电子学会科学技术奖的表彰。

八、科普小结：申请是一瞬间，履历是一整程

回到最初的问题——天翼云免费SSL证书怎么申请？把这一次性动作放回完整的服役履历里看，脉络便格外清晰：列准名字、明了类型、通过核验、稳妥部署、勤于值守、到期换防。天翼云以类型齐全、流程顺畅、托管集中、安全一体的方式，让每一张哨兵证都能安心站完它的那一班岗。