IIS自带的HTTPS证书本质是自签名证书，仅适合开发与内部测试，生产环境必须使用受信任的证书颁发机构（CA）签发的证书，证书管理涉及从生成、申请、安装到续期的全流程，合理选择与配置能兼顾安全与成本。
理解IIS自带的HTTPS证书
IIS自签名证书是如何生成的
IIS在安装时会自动生成一个自签名证书,用于快速启用HTTPS，也可以手动通过IIS管理器或PowerShell创建：
- 打开IIS管理器,选择服务器节点，双击“服务器证书”。
- 点击“创建自签名证书”，输入友好名称，选择存储位置。
- 使用PowerShell命令：
New-SelfSignedCertificate -DnsName "yourdomain.com" -CertStoreLocation "Cert:LocalMachineMy"。
自签名证书由服务器自己签发,没有第三方CA验证身份，在IIS中生成后，通常会存储在“个人”证书存储区，并自动绑定到默认网站（如果启用了HTTPS）。
IIS自签名证书安全吗？适用场景与风险
自签名证书使用与CA证书相同的加密算法,理论上能提供同等级的传输加密，但浏览器不信任它，因为缺乏受信任根证书颁发机构的签名，访问时会显示“不安全”或“证书错误”。
安全层面的现实情况：不推荐用于面向公众的网站，攻击者可以伪造自签名证书实现中间人攻击，用户无法通过浏览器验证服务器身份，对于内部测试、开发环境或局域网应用，使用自签名证书是可以接受的，前提是客户端手动导入信任该证书。
风险提示：如果泄露了自签名证书的私钥，攻击者可以解密通信，即使用于内部环境，也要妥善保管私钥文件。
HTTPS证书管理：从自签名到受信任CA
自签名证书与CA证书的核心区别
| 特性 | 自签名证书 | 受信任CA证书 |
|---|---|---|
| 信任来源 | 无第三方验证 | 浏览器预置根CA |
| 浏览器提示 | 警告/不安全 | 绿色锁标 |
| 申请流程 | 自己生成 | 提交CSR，验证域名或企业身份 |
| 成本 | 免费 | 免费（如Let’s Encrypt）或付费 |
| 有效期 | 自己设定 | 通常90天或1-2年 |
| 适用场景 | 开发、内部测试 | 公网生产环境 |
HTTPS证书价格对比：免费与付费如何选择
行业共识认为,免费证书（如Let’s Encrypt、ZeroSSL、简米云免费证书）已能满足大部分个人站长和小型企业需求，它们提供基础域名验证（DV），在IIS上配置无差异，但有效期短（90天），需要频繁续期。
付费证书分为OV（组织验证）和EV（扩展验证），价格从几百元到数千元不等，据近年市场报价，DV证书免费或几十元，OV证书约500-2000元/年，EV证书在2000-5000元/年，企业站点或电商平台选用OV/EV证书，能提升用户信任度，浏览器地址栏显示企业名称，对于国内服务器，大多数CA支持国内根证书，兼容性良好。
选择建议：个人博客或小型资讯站优先使用免费DV证书；涉及用户登录、支付等敏感信息的业务，建议至少使用OV证书。
IIS HTTPS证书安装与配置实操
IIS HTTPS证书怎么安装？分步操作指南
无论从CA购买还是申请免费证书,最终都会得到一个包含私钥的PFX文件（或PEM文件需转换），以下是在IIS 10（Windows Server 2016/2019/2026）上的标准安装流程：
- 将PFX文件复制到服务器,双击或右键选择“安装PFX”。
- 选择存储位置为“本地计算机”，输入私钥密码（如设置过）。
- 选择证书存储区域,通常选择“个人”或“Web服务器”。
- 安装完成后,打开IIS管理器，选择需要绑定HTTPS的网站，点击右侧“绑定”。
- 添加类型为“https”，端口443，选择已安装的证书。
- 可选：添加重定向规则，将HTTP 80端口的请求永久重定向到HTTPS。
使用PowerShell替代GUI：
Import-PfxCertificate -FilePath "C:cert.pfx" -CertStoreLocation Cert:LocalMachineMy -Password (ConvertTo-SecureString "密码" -AsPlainText -Force)
New-WebBinding -Name "网站名称" -Protocol https -Port 443 -IPAddress ""
$cert = Get-ChildItem Cert:LocalMachineMy | Where-Object {$_.Subject -like "yourdomain.com"}
(Get-WebBinding -Name "网站名称" -Protocol https).AddSslCertificate($cert.Thumbprint, "my")
常见安装问题与解决
问题1：安装证书时提示“私钥丢失”
原因是PFX文件未包含私钥，或导出时未选择“包含私钥”，重新从CA获取完整PFX，或使用OpenSSL合并证书和私钥。
问题2：绑定后浏览器显示“证书不受信任”
可能未安装中间证书链，在IIS管理器中双击证书，查看“证书路径”是否完整，若缺少中间证书，需从CA下载并导入到“中间证书颁发机构”存储。
问题3：HTTP强制跳转HTTPS不生效
使用IIS URL重写模块，配置规则：匹配所有请求，条件为{HTTPS} off，动作重定向到https://{HTTP_HOST}{REQUEST_URI}，状态码301。
证书续期与日常管理
IIS证书管理工具与最佳实践
IIS本身不提供自动续期功能,但结合操作系统工具可有效管理，日常管理主要涉及证书到期提醒、备份和自动化续期。
到期提醒：通过PowerShell脚本定期检查证书有效期，并发送邮件通知。
$cert = Get-ChildItem Cert:LocalMachineMy | Where-Object {$_.NotAfter -lt (Get-Date).AddDays(30)}
if ($cert) { Send-MailMessage -To "admin@domain.com" -Subject "证书即将到期" -SmtpServer ... }
计划任务设置为每周运行一次。
证书备份：导出带私钥的PFX文件，妥善保存，在IIS管理器中右键证书，选择“导出”，勾选“包含私钥”并设置密码，建议将备份文件存储到离线或安全内网位置。
自动化续期：使用Certify The Web（免费）或Win-ACME等工具，可自动完成Let’s Encrypt证书申请、验证并更新IIS绑定，这些工具通常支持计划任务，实现无人值守续期，有效解决免费证书90天有效期的问题。
付费证书续期流程
付费证书到期前,CA会邮件提醒，登录CA账户，重新生成CSR（可复用原私钥或新生成），提交验证后下载新PFX，安装流程与首次相同，直接覆盖旧证书，注意：使用原私钥可避免重新绑定包含证书的WCF服务等场景。
IIS自带HTTPS证书与证书管理常见问题
Q1：IIS自签名证书能用于公网网站吗？
技术上可以启用HTTPS，但浏览器会警告“不安全”，用户信任度极低，对于需要公开访问的网站，强烈建议使用受信任CA签发的证书，否则可能导致流量损失和品牌声誉受损。
Q2：免费SSL证书和付费SSL证书在IIS上配置有区别吗？
配置流程完全一致，都是导入PFX文件并绑定到网站，主要区别在于验证级别和有效期：免费DV证书仅验证域名所有权，付费OV/EV证书还需验证企业身份，免费证书通常需要更频繁续期，付费证书提供商业保障和更高的用户信任。
Q3：证书到期前如何自动续期并重新绑定IIS？
使用Certify The Web等自动化工具，配置好域名和验证方式（DNS或HTTP），工具会自动申请新证书，导入到IIS并更新绑定，设置计划任务定期运行，即可实现无人值守续期，确保HTTPS服务不中断。
IIS自带的HTTPS证书是自签名证书,主要用于开发测试，生产环境必须选择受信任的CA证书，证书管理涉及安装、备份、续期等环节，合理利用免费证书和自动化工具可以降低运维成本和安全风险，无论选择哪种证书，保护好私钥和监控证书有效期是保障HTTPS服务稳定运行的关键步骤。
首发原创文章，作者：王坚，如若转载，请注明出处：https://idctop.com/article/589150.html
