一、免费SSL证书背后的技术基础
1.1 公钥基础设施与证书信任模型
公钥基础设施（Public Key Infrastructure，PKI）是一套用于管理公钥加密密钥对的规则、软件与流程集合。SSL/TLS证书本质上是一份遵循X.509标准的数字文件，它把域名或组织的身份与一个公钥绑定，并由可信第三方用其私钥进行数字签名。浏览器在建立HTTPS连接时，会验证这份签名是否有效，从而确认所访问的域名确实持有对应的私钥。
理解证书信任模型，至少需要关注：
① 信任锚与根证书：操作系统和浏览器内置一组受信任的根证书，作为信任起点。
② 层级签发：实际签发常通过根证书、中间证书、站点证书的层级完成，根密钥可离线保存。
③ 链上校验：客户端从站点证书向上追溯至信任根，确认每一级签名连贯且未被中断。
1.2 域名验证证书与验证级别差异
根据验证强度，证书分为域名验证（DV）、组织验证（OV）与扩展验证（EV）三类。DV仅验证申请者对域名的所有权，验证速度快、成本低，因而成为免费证书的主要形态；OV在域名之外额外核验组织真实存在；EV则执行更严格的法律与实体审查。
三类证书的差异体现在：
① 验证对象：DV关注域名控制权，OV与EV额外关注主体身份。
② 签发时效：DV可在自动化验证通过后快速签发，OV与EV需人工介入。
③ 适用场景：DV适合个人站点与内部测试，OV与EV更常用于面向公众的金融或政务业务。
1.3 证书签名请求与密钥对的作用
申请证书的第一步是在本地或受控环境中生成非对称密钥对，并基于公钥构造证书签名请求（Certificate Signing Request，CSR）。CSR是一段包含主体信息与公钥的数据，提交给颁发机构后，对方据此签发证书。私钥始终保留在申请方一侧，不应离开生成环境，这是保障证书安全的基本原则。
规范完成这一步需注意：
① 选择算法与长度：常用RSA与椭圆曲线（ECC）两类算法，需按合规要求确定密钥长度。
② 保护私钥：私钥文件应限制访问权限，并避免明文传输或长期驻留临时目录。
③ 准确填写主体：CSR中的通用名称与备用名称应覆盖实际对外服务的域名。
二、在天翼云申请免费证书的操作链路
2.1 进入证书管理服务与创建申请
天翼云提供SSL证书管理服务，将证书的申请、验证、托管与续期整合到统一控制台。申请免费证书的第一步，是在证书管理入口创建一张新证书，填写计划保护的域名信息，并选择免费的域名验证类型。平台会在引导流程中提示需要准备的资料，降低首次操作的认知负担。
创建阶段应关注：
① 域名覆盖范围：通过通用名称与备用名称，确认证书覆盖主域与所需子域。
② 类型选择：在可选类型中确认免费额度对应证书的形态与限制。
③ 资源归属：明确证书将关联到的云上资源账号与区域，便于后续部署。
2.2 选择验证方式与完成域名校验
免费DV证书的签发前提是证明申请者对域名的所有权。天翼云的证书管理服务支持常见的自动化校验方式：一种是在目标域名的Web根路径放置指定令牌（对应HTTP-01挑战），另一种是在域名解析中写入指定记录（对应DNS-01挑战）。控制台会给出对应的校验值，申请方按提示配置后，平台自动完成验证。
验证环节的关键点包括：
① HTTP-01方式：要求在目标域名的Web根路径提供特定令牌，适合已可访问的站点。
② DNS-01方式：要求在域名的DNS记录中添加特定值，适合需要通配符证书的场景。
③ 校验等待：域名解析生效需要时间，配置后应预留传播窗口再触发校验。
2.3 签发回执与一键部署到云资源
校验通过后，颁发机构返回站点证书及中间证书。天翼云的证书管理服务支持将签发结果直接关联到受管资源，例如负载均衡、内容分发网络与Web应用防火墙，减少手工拷贝证书带来的配置错误。申请方也可下载证书文件，按服务端要求的格式自行部署。
部署前需确认：
① 格式兼容：服务端通常要求PEM或特定编码格式，需转换一致。
② 链的顺序：站点证书在前，中间证书在后，根证书一般无需随附。
③ 边缘生效：在内容分发与安全防护节点统一加载，缩短生效链路。
三、证书托管与持续运维要点
3.1 集中托管与多资源关联
天翼云的证书管理服务支持将多张证书集中托管，并一键关联到具体的云资源。集中管理可以避免证书分散存储导致的遗漏，也为后续批量续期与状态查看提供统一视图。对于同时运行多个站点或微服务的团队，这种托管模式能显著降低配置漂移风险。
托管能力的价值体现在：
① 集中视图：所有证书的状态、域名与到期时间集中呈现。
② 一键关联：将证书绑定到负载均衡、内容分发网络等具体资源。
③ 减少手工：避免在不同节点间反复拷贝与替换证书文件。
3.2 自动续期与到期预警
免费DV证书的有效期通常较短，依赖手工续期容易因遗忘造成服务中断。天翼云的证书管理服务支持对托管证书设置自动续期与到期提醒，在证书临近失效前主动完成验证与替换，并将更新后的证书同步到已关联的资源。
运维侧建议遵循：
① 提前续期窗口：在到期前预留足够时间完成验证与部署，规避突发失败。
② 库存可视：建立证书到期视图，对即将过期的条目设置预警。
③ 多实例同步：在存在多节点部署时，确保新证书同步推送到全部实例。
3.3 免费证书的适用边界与选型建议
免费证书降低了HTTPS的启用门槛，但其适用范围与额度存在边界。不同证书类型在验证强度、覆盖域名数量与可部署资源上存在差异，申请前应结合业务规模与合规要求做出选择。
把握使用边界需关注：
① 合规适配：涉及等保或行业监管时，应确认所选证书类型满足要求。
② 私钥责任：无论证书是否免费，私钥的安全保管始终是申请方的责任。
③ 场景匹配：测试与内部环境可用免费DV，对外关键业务需评估更高验证级别。
