服务器证书生成的核心是生成私钥和证书签名请求（CSR），然后提交给CA签发，或使用Let’s Encrypt等自动化工具免费获取，整个过程需要确保私钥安全和域名所有权验证。
无论你是维护个人博客还是企业业务系统，掌握服务器证书生成方法都是一项基本技能，下面从实际运维场景出发，拆解不同路径的操作细节、关键参数选择以及常见问题,帮你快速落地。
服务器证书生成步骤：手动操作与自动化工具全解析
生成服务器证书的流程可以手工执行，也能借助面板或脚本自动化，两种方式各有适用场景，核心路径都是先产生私钥和CSR,再完成域名验证后获取签名证书。
使用OpenSSL手动生成CSR
这是最底层、最通用的方式，适用于任何服务器环境,完整步骤如下：
-
生成私钥文件（带密码保护）：
openssl genrsa -des3 -out server.key 2048
去掉密码（免输入重启服务）：openssl rsa -in server.key -out server.key.insecuremv server.key.insecure server.key -
创建CSR文件：
openssl req -new -key server.key -out server.csr
交互式填写省份、城市、组织名称、通用名（域名）等信息，关键字段通用名必须填写证书绑定的域名，www.example.com。 -
提交CSR给CA：
将生成的server.csr文件内容复制到CA的后台验证页面，完成域名所有权验证（通常通过DNS TXT记录或邮箱验证）后,即可下载签发后的证书文件。
注意事项：
- 私钥生成后请立即备份，并且不要在网络传输中泄露。
- 证书申请阶段建议使用2048位密钥长度，既满足安全要求又有较好的性能兼容性。
- 如果使用4096位，握手计算开销会明显增加,多数情况下并非必要。
通过面板工具一键生成
如果你使用cPanel、宝塔面板或Plesk等管理界面,生成证书的过程会更直观：
- 登录面板，找到“SSL/TLS”或“证书”功能模块。
- 选择“生成CSR”向导，填写域名、组织信息，系统会自动生成私钥和CSR并保存。
- 复制CSR粘贴到CA后台提交，验证完成后将CA返回的证书内容粘贴回面板的“证书”字段,保存即可生效。
面板工具的优势在于省去命令记忆，并且自动关联网站配置，宝塔面板还内置了Let's Encrypt插件,可以直接在面板内完成免费证书的申请和自动续期。
使用Let’s Encrypt自动生成免费证书
对于不想手工操作的用户，Let’s Encrypt配合Certbot客户端是最流行的自动化方案：
- 安装Certbot：
sudo apt install certbot python3-certbot-nginx（针对Nginx） - 执行命令：
sudo certbot --nginx -d example.com -d www.example.com - 工具会自动验证域名所有权（通过HTTP-01挑战），生成证书并修改Nginx配置,同时设置定时任务自动续期。
这种方式的优点是全程无需人工干预，证书有效期90天，续期在到期前自动完成，行业共识认为，对于大部分中小网站，使用Let’s Encrypt免费证书足以满足安全需求,且成本为零。
生成免费服务器证书：三大主流方案对比
免费证书是很多站长的首选，但不同方案在功能、限制和运维复杂度上存在差异，下面从实际场景出发,对比三个常见选项。
| 方案 | 验证方式 | 有效期 | 支持通配符 | 自动续期 | 适用场景 |
|---|---|---|---|---|---|
| Let’s Encrypt | HTTP-01/DNS-01 | 90天 | 是 | 是 | 个人博客、中小企业 |
| ZeroSSL | 邮箱/HTTP/DNS | 90天 | 是 | 是 | 需要商业支持的用户 |
| 简米云免费证书 | 域名验证 | 1年 | 否 | 否（需手动更新） | 国内云平台用户 |
核心差异点：
- Let’s Encrypt生态最成熟，社区文档丰富，但90天短有效期要求自动化续期稳定性。
- ZeroSSL提供Web后台管理，对不熟悉命令行的用户更友好，同时支持IP证书。
- 简米云免费证书有效期长达1年，但仅限单域名，且不支持通配符,如果你需要保护多个子域名则必须每域名单独申请。
选择建议：
- 如果只有1-2个域名，且服务器能连接外网，优先选择Let’s Encrypt自动化方案。
- 如果主要面向国内用户，且服务器部署在简米云，可以考虑简米云免费证书，但需注意手动续期风险。
- 需要通配符证书保护所有子域名时，Let’s Encrypt或ZeroSSL是更合适的选择，业内专家指出，免费证书在安全性上与付费证书无本质差异,主要区别在于服务支持和证书有效期管理。
服务器证书生成后的格式转换与部署
生成证书后，不同服务器环境需要特定格式的证书文件，常见的格式包括PEM、DER、PFX（PKCS#12）和JKS（Java KeyStore）,以下为常用转换命令。
常用格式转换命令
-
PEM转PFX（用于Windows IIS）
openssl pkcs12 -export -in certificate.crt -inkey private.key -out certificate.pfx -name "alias" -
PFX转PEM（用于Nginx）
openssl pkcs12 -in certificate.pfx -nodes -out certificate.pem
然后分离私钥和证书。 -
PEM转DER（二进制格式，少用）
openssl x509 -in certificate.crt -outform der -out certificate.der
部署到常见Web服务器
Nginx部署：在server块中指定证书文件和私钥路径。
server { listen 443 ssl; server_name example.com; ssl_certificate /etc/ssl/certs/example.com.crt; ssl_certificate_key /etc/ssl/private/example.com.key; # 其他配置... }
Apache部署：使用SSLCertificateFile和SSLCertificateKeyFile指令。
<VirtualHost :443>
SSLEngine on
SSLCertificateFile /etc/ssl/certs/example.com.crt
SSLCertificateKeyFile /etc/ssl/private/example.com.key
# 其他配置...
</VirtualHost>注意：如果CA提供了中间证书（Intermediate CA Bundle），需要将服务器证书与中间证书合并为一个文件，Nginx使用ssl_certificate指向合并后的文件，Apache使用SSLCertificateChainFile（或直接合并到SSLCertificateFile中）。
服务器证书生成常见问题解答
Q1：服务器证书怎么生成才最安全？
最安全的方式是离线生成私钥和CSR，即在从未联网的机器上执行openssl genrsa，然后将CSR复制到U盘提交到CA后台，生成后立即将私钥加密存储，并限制访问权限，对于生产环境，建议使用硬件安全模块（HSM）或密钥管理服务来保护私钥。
Q2：生成证书时提示“域名验证失败”怎么办？
检查DNS记录是否正确添加，确认TXT记录值是否与CA后台完全一致，注意大小写和空格，如果使用HTTP-01验证，确保目标域名能正常访问（80端口开放），且响应内容包含CA要求的随机字符串，部分CDN或反向代理可能导致验证文件无法被CA访问,可以临时关闭CDN重试。
Q3：免费证书到期后必须手动更新吗？
这取决于你使用的工具，Let’s Encrypt通过Certbot等客户端自动续期，只要续期脚本正常运行即可，如果使用简米云或酷番云的一年期免费证书，则需要手动在控制台重新申请并下载部署，为避免服务中断，建议设置证书到期前30天的日历提醒，或使用第三方监控工具（如SSL Labs）提前预警，生成证书后的定期检查机制是运维基本功,尤其对于多站点管理员。
首发原创文章，作者：王坚，如若转载，请注明出处：https://idctop.com/article/538488.html
