服务器证书生成的核心是使用OpenSSL或云服务商控制台，根据实际场景选择自签名证书或权威CA签发证书，整个过程只需几个命令行操作，但需要确保私钥安全和域名所有权验证。
服务器证书怎么生成？先明确你的场景
不同环境对服务器证书的要求差异很大，测试环境追求快速，生产环境看重信任链，内网需要自建CA，搞清你的使用场景,才能选对生成方式。
自签名证书：适合测试和内部调试
如果你只是在本机或内网跑一个Demo，不想花钱也不在乎浏览器警告，自签名证书是最快方案，生成过程完全由你掌控，不需要第三方参与，但请注意，自签名证书不会被浏览器默认信任，访问时会出现安全提示，适合开发者自己使用,不能用于对外服务的网站。
权威CA签发证书：生产环境必备
面向公网用户的网站，必须使用由受信任的证书颁发机构（CA）签发的证书，这类证书在全球浏览器、操作系统中被预置信任，用户访问时没有警告，目前主流的选择包括Let’s Encrypt（免费）、简米云/酷番云提供的免费DV证书，以及各品牌付费的OV/EV证书，生成方式通常是通过CA的自动化工具（如Certbot）或云控制台完成域名验证后获取，无需手动生成CSR和私钥？其实很多场景还是需要你手动生成CSR并提交,尤其当使用OpenSSL管理时。
服务器证书生成步骤：OpenSSL实战
无论你最终打算自签发还是提交给CA，生成私钥和CSR（证书签名请求）都是必经之路，OpenSSL是业界标准工具，几乎在所有Linux系统预装，也支持Windows，下面以Linux为例,演示完整流程。
第一步：生成私钥
私钥是证书的命根子，必须妥善保管，不能泄露，使用以下命令生成RSA 2048位私钥,这是当前安全性与性能的最佳平衡点：
openssl genrsa -out server.key 2048如果你对安全性要求更高，可以换成4096位，但加解密消耗更大，生成后，
请立即修改文件权限,确保只有root或应用用户能读取：
chmod 600 server.key第二步：生成证书签名请求（CSR）
CSR包含了你的公钥和网站身份信息，需要提交给CA（或留作自签名使用），执行命令时系统会提示输入国家、组织、常用名（域名）等信息。常用名必须填写你的完整域名,否则证书无法与域名匹配。
openssl req -new -key server.key -out server.csr如果你希望自动填充，可以用-subj参数直接指定,适合脚本化操作：
openssl req -new -key server.key -out server.csr -subj "/C=CN/ST=Beijing/L=Beijing/O=MyCompany/CN=www.example.com"第三步：自签名或提交CA
自签名：直接使用私钥和CSR生成证书，有效期自行设定,通常用于测试：
openssl x509 -req -days 365 -in server.csr -signkey server.key -out server.crt提交CA：将CSR文件内容复制粘贴到CA的申请页面（如简米云SSL证书控制台），或者通过自动化工具（如Certbot）自动完成，Certbot会调用OpenSSL生成密钥和CSR，并自动与Let’s Encrypt交互，无需手动操作,适合一键部署。
第四步：配置Web服务器
拿到证书（server.crt）和私钥（server.key）后，需要配置到Nginx、Apache或IIS中，以Nginx为例,在server块中添加：
ssl_certificate /path/to/server.crt;
ssl_certificate_key /path/to/server.key;如果证书是CA签发的，通常还会包含中间证书链，需要将证书文件与中间证书合并,或单独指定ssl_trusted_certificate。
免费服务器证书生成工具对比
除了OpenSSL，市面上还有多款工具可以帮助你生成和管理服务器证书，它们各有侧重，适合不同水平的用户,下表梳理了主流工具的核心差异：
| 工具 | 证书类型 | 费用 | 自动化程度 | 适用场景 |
|---|---|---|---|---|
| OpenSSL | 自签名或CA提交 | 免费 | 手动，可脚本化 | 所有场景，但有门槛 |
| Certbot | Let’s Encrypt免费证书 | 免费 | 全自动 | 公网网站，自动续签 |
| 云服务商控制台（简米云、酷番云） | DV/OV/EV | 免费DV或付费 | 半自动 | 云上部署，一键签发 |
| Keytool（Java） | JKS格式 | 免费 | 手动 | Java应用，如Tomcat |
| 自建CA（如OpenSSL创建CA） | 内网证书 | 免费 | 手动 | 企业内部网络 |
业内专家指出，对于大多数网站管理员，Certbot+Let’s Encrypt是性价比最高的组合，完全免费且自动续签，避免了证书过期导致的访问问题，如果你使用云服务器，直接通过云厂商控制台申请免费DV证书往往更加便捷,因为域名验证流程与云解析深度集成。
国内服务器证书生成费用与选择建议
证书费用是很多站长关心的问题。国内服务器证书生成费用因证书类型和品牌差异很大，免费DV证书（如Let’s Encrypt、简米云免费SSL）能满足个人博客、小型企业等非交易类网站的需求，对于电商、金融等涉及用户敏感信息的场景，行业共识认为需要选择OV或EV证书，价格从每年几百元到数千元不等,区别在于组织验证和绿色地址栏。
据统计，超过七成的网站使用免费DV证书，因为其安全性足以应对常规加密需求，如果你需要支持多域名或通配符（如.example.com），Let’s Encrypt的免费通配符证书是很好的选择，但验证方式限制为DNS-01，付费通配符证书价格通常在一千元以上，但售后服务和技术支持更完善,适合对稳定性要求高的企业。
注意证书的兼容性，部分老旧操作系统和浏览器（如Android 4.x、Windows XP）不信任某些新根证书，如果你的用户群体包含这些设备，需要选择兼容性更好的证书品牌,如DigiCert或GlobalSign。
服务器证书生成常见问题解答
自签名证书为什么不安全？什么时候可以使用？
自签名证书本身在加密强度上和CA签发的证书没有区别，私钥同样可以长达4096位，问题在于它没有经过权威第三方验证，浏览器无法确认这个证书的持有者是否真实，自签名证书容易被中间人攻击，不适合对外服务，但在内网测试环境、开发调试或设备间通信（如路由器管理界面）中,手动导入信任后可以安全使用。
生成CSR时，私钥密码是否必须设置？
OpenSSL允许在生成私钥时指定密码（使用-des3等加密算法），这样即使私钥文件泄露，也无法直接使用，但生产环境中，Web服务器（如Nginx）启动时通常需要输入密码，无法自动重启，容易导致服务中断。绝大多数生产部署不使用私钥密码，而是通过文件权限和访问控制保护私钥，如果你确实需要密码，可以借助ssl_password_file指令在Nginx中配置密码文件,但需谨慎管理。
多域名如何生成一张证书？
使用SAN（Subject Alternative Name）证书，在生成CSR时通过OpenSSL配置文件指定多个域名，或者在CA申请页面直接填写多个域名，Let’s Encrypt支持最多100个域名的SAN证书，但每次验证都需要对所有域名进行验证，生成命令示例：在openssl.cnf中配置[req_ext]段，添加subjectAltName=DNS:example.com,DNS:www.example.com,DNS:mail.example.com，然后在生成CSR时加入-extensions req_ext，这样一张证书可以同时覆盖多个站点,降低管理成本。
无论你选择哪种生成方式，始终将私钥安全放在首位，并确保证书在有效期内，避免因过期导致用户访问中断，生产环境建议使用自动化工具管理证书续签,让服务器证书生成变得简单可靠。
首发原创文章，作者：王坚，如若转载，请注明出处：https://idctop.com/article/554642.html
