网站必备https用openssl生成域名证书全流程

发布日期： 2025-12-14 阅读量： 作者： admin

搞https证书这事儿

最近折腾网站，听说不上https浏览器要报警告，看着挺烦人。琢磨着自己生成个证书先用着，反正就自己测试玩玩。都说openssl能搞定，那就试试呗！

第一步，得先找到服务器上证书应该放哪儿。有些习惯放/etc/ssl/private/，有些放/etc/nginx/ssl/之类的，这得看你用啥服务器软件。我用的nginx，就在/etc/nginx下面新建了个文件夹叫ssl，准备把待会儿生成的文件都丢进去。

万事开头难？先来个私钥！打开终端，命令敲进去：

openssl genrsa -out * 2048

啪嗒一声，一个叫的文件就躺在当前目录了。这玩意儿就是钥匙，可得保管不能随便让人看到！我还专门给它改了权限：chmod 600 *，省得不小心泄密。

有了钥匙，还得填个申请表给证书中心（虽然我是自己给自己发证，但这步省不了）。命令长这样：

openssl req -new -key * -out *

这命令一敲，终端里就开始挨个问话了：

最坑爹的是那个通用名（Common Name），填错了后面就白忙活！其他信息…反正自己签的，随便糊弄下得了。

申请表填完，生成了。现在得自己当一回证书颁发机构了！再敲命令：

openssl x509 -req -days 365 -in * -signkey * -out *

意思就是：用刚才那把钥匙（）和申请表（），签个有效期为365天的证书，就叫！终端一闪，提示签名成功，搞定！

拿着新鲜出炉的两个文件——钥匙和证书——挪到我之前建好的/etc/nginx/ssl文件夹里放

然后去折腾nginx的配置文件（一般找/etc/nginx/sites-available/default或者类似路径）。在关于80端口那个服务（server）下面，增加一段443端口的配置，大概长这样：


server {
listen 443 ssl;
server_name *; # 你的域名
ssl_certificate /etc/nginx/ssl/*;
ssl_certificate_key /etc/nginx/ssl/*;
... 其他配置（比如网站根目录啥的）照旧 ...

改完别忘保存！接着要让nginx重新加载配置：nginx -s reload。如果它没报错，大概率就是认了。

兴奋地打开浏览器，输入https://我的域名...嚯！红彤彤的大警告！直接说我证书不安全！点开锁的小图标一看，果然提示这证书没谁认得（因为是我自己签的，不是那些花钱的大机构签的）。

浏览器还不依不饶，非让你点“高级”或者“继续前往”之类的（每个浏览器说法还不一样！）。

折腾这一大圈，流程是走通了，自己签的证书nginx也认了，网站也确实走https了，数据也加密了。就是这浏览器的大红脸实在太吓人，想给正经网站用，那必须得花钱或者用免费机构给签正经证书才行。自己搞这个，就适合关起门来自己测试玩玩。