Nginx 配置HTTPS证书

Nginx 配置HTTPS证书

现在网站都要HTTPS，配置证书是必备技能。

1. 为什么要HTTPS

• 加密传输，防窃听
• 浏览器安全标识
• SEO 排名加分
• 现在主流浏览器都要求HTTPS

2. 证书文件

一般有两个文件：

• .crt：证书文件
• .key：私钥文件

# 证书文件放在这里
/etc/nginx/ssl/
├── example.com.crt
└── example.com.key

3. 基本HTTPS配置

server {
    listen 443 ssl;
    server_name example.com;

    # 证书配置
    ssl_certificate /etc/nginx/ssl/example.com.crt;
    ssl_certificate_key /etc/nginx/ssl/example.com.key;

    # 其他配置
    location / {
        root /var/www/html;
        index index.html;
    }
}

4. HTTP 跳转 HTTPS

# HTTP 重定向到 HTTPS
server {
    listen 80;
    server_name example.com;
    return 301 https://$host$request_uri;
}

5. 优化配置

server {
    listen 443 ssl http2;
    server_name example.com;

    ssl_certificate /etc/nginx/ssl/example.com.crt;
    ssl_certificate_key /etc/nginx/ssl/example.com.key;

    # 优化SSL配置
    ssl_session_timeout 1d;
    ssl_session_cache shared:SSL:10m;
    ssl_session_tickets off;

    # 加密套件
    ssl_protocols TLSv1.2 TLSv1.3;
    ssl_ciphers ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256;
    ssl_prefer_server_ciphers off;

    # HSTS
    add_header Strict-Transport-Security "max-age=63072000" always;
}

6. 检查配置

# 检查配置语法
nginx -t

# 重载配置
nginx -s reload

7. 证书申请

免费证书：

• Let's Encrypt（用 certbot 申请）
• 阿里云免费证书
• 腾讯云免费证书

certbot 申请：

# 安装 certbot
yum install certbot python3-certbot-nginx

# 自动申请并配置
certbot --nginx -d example.com

自动续期：

# 测试续期
certbot renew --dry-run

# 加入定时任务
0 3 * * * certbot renew --quiet

8. 常见问题

1）证书不生效

• 检查证书路径对不对
• 检查文件权限
• 重载 Nginx

2）浏览器提示不安全

• 证书过期了
• 域名不匹配
• 中间证书没装全

3）HTTPS 访问慢

• 开启 HTTP/2
• 优化 SSL 会话缓存

4）证书续期失败

• 检查域名解析
• 检查80端口是否通
• 手动运行 certbot 看报错

9. 证书有效期

• 免费证书一般 3 个月
• 要设置自动续期
• 不然到期网站就挂了

10. 生产建议

1）强制 HTTPS

• HTTP 全部 301 跳转
• 开启 HSTS

2）开启 HTTP/2

• listen 443 ssl http2
• 提升访问速度

3）定期检查证书

• 监控证书到期时间
• 提前续期

4）中间证书

• 有些证书要把中间证书合并
• 不然浏览器不信任

总结

Nginx 配置HTTPS要点：

• 配置证书和私钥路径
• HTTP 跳转 HTTPS
• 开启 HTTP/2
• 优化 SSL 会话缓存
• 用 certbot 免费申请
• 设置自动续期
• 定期检查证书有效期
• 开启 HSTS
• 注意中间证书问题

HTTPS 是网站标配，一定要配置好。