HTTPS 不只是一个锁形图标

HTTPS 在 HTTP 之下使用 TLS 加密连接。浏览器除了建立安全连接，还需要检查证书是否由可信的机构签发，以及证书中的域名是否与正在访问的网站匹配。

证书验证的关键

证书能证明某个公钥与特定域名之间的关系。一个网站可能成功完成 TLS 握手，却因为证书域名不匹配而被浏览器警告。这不是矛盾：加密链路建立和身份校验是两个不同的步骤。

申请证书的两条路径

HTTP-01 通常需要外部验证方能访问网站的特定 HTTP 路径；DNS-01 则通过 DNS TXT 记录证明域名控制权。选择哪一种，应取决于服务器网络条件和 DNS 管理方式。

为何需要自动续期

公开受信任证书存在有效期，设置完成后也不是一劳永逸。部署时就应该验证续期任务、所需访问权限，以及证书更新后服务是否会重新加载。

检查方法

在 Linux 上可以用 openssl x509 -in /path/to/fullchain.pem -noout -dates 查看证书日期，也可以使用 curl -Iv https://example.com 查看握手与验证结果。

结束语

一个可靠的 HTTPS 网站，既要正确地加密通信，也要能持续提供有效证书。