【導(dǎo)讀】：想為內(nèi)部系統(tǒng)快速啟用HTTPS？“在線自簽ssl證書(shū)”看似方便，卻不獲公眾信任。本文揭示其原理與局限，并推薦更適合對(duì)外服務(wù)的免費(fèi)ssl證書(shū)安裝服務(wù)。

自簽證書(shū)的本質(zhì)：自己給自己發(fā)身份證

作為一名PKI領(lǐng)域的老手，我首先要澄清一個(gè)概念：“在線自簽ssl證書(shū)”實(shí)際上是一個(gè)容易產(chǎn)生誤導(dǎo)的說(shuō)法。嚴(yán)格意義上的自簽名（Self-Signed）證書(shū)是指你自己扮演了根證書(shū)頒發(fā)機(jī)構(gòu)（Root CA）的角色，用自己的私鑰為自己生成了一張證書(shū)。網(wǎng)上有些工具聲稱能幫你“在線”完成此事，本質(zhì)上也只是前端封裝了一個(gè)OpenSSL命令而已。這類(lèi)證書(shū)最大的特點(diǎn)是沒(méi)有任何第三方權(quán)威背書(shū)。當(dāng)用戶訪問(wèn)使用此類(lèi)證書(shū)的網(wǎng)站時(shí)，瀏覽器必然會(huì)彈出醒目的紅色安全警告，因?yàn)樗也坏竭@條證書(shū)鏈對(duì)應(yīng)的、存在于自身信任存儲(chǔ)庫(kù)中的上級(jí)CA。
明確邊界：自簽證書(shū)的最佳應(yīng)用場(chǎng)景在哪里？

正因?yàn)椴皇艽蟊娦湃危院炞C書(shū)絕不應(yīng)用于任何面向互聯(lián)網(wǎng)用戶的生產(chǎn)環(huán)境。它的舞臺(tái)應(yīng)在封閉隔離的內(nèi)網(wǎng)之中發(fā)揮作用。例如，企業(yè)內(nèi)部的CI/CD流水線通信、數(shù)據(jù)庫(kù)之間的復(fù)制鏈接、或員工專(zhuān)用的OA辦公系統(tǒng)的測(cè)試階段。在這些場(chǎng)景下，管理員可以通過(guò)組策略或手動(dòng)導(dǎo)入的方式，將自制的根證書(shū)預(yù)先分發(fā)到每一臺(tái)終端設(shè)備的信任庫(kù)里。此后，所有由該根簽發(fā)出的下游證書(shū)都將被視為合法，從而建立起一道堅(jiān)固而又輕量級(jí)的加密屏障。這是一種典型的“圍墻花園”模型非常適合用來(lái)加速早期原型開(kāi)發(fā)進(jìn)程而不會(huì)招致外界干擾.

然而一旦跨越防火墻界限企圖拿它去應(yīng)付外面千千萬(wàn)萬(wàn)個(gè)陌生訪客那就注定是要碰壁咯! 不光會(huì)影響轉(zhuǎn)化率還會(huì)給人留下業(yè)余粗糙的印象實(shí)在得不償失吶小伙伴們千萬(wàn)別搞錯(cuò)了對(duì)象噢~

對(duì)外首選：免費(fèi)CA證書(shū)才是真正普惠的答案

假如您的初衷是為了給公司的官網(wǎng)商城小程序或者其他任何形式對(duì)外開(kāi)放web應(yīng)用程序披上一層黃金甲胄那么唯一的正路就是去找那些已經(jīng)被各大操作系統(tǒng)廠商集體接納進(jìn)白名單里面的正規(guī)軍ca合作他們所提供出來(lái)的產(chǎn)品哪怕打著free標(biāo)簽照樣能在chrome firefox safari edge等各種流行游覽器里面展現(xiàn)出漂亮綠鎖圖標(biāo)讓人一看就覺(jué)得踏實(shí)放心這就是所謂社會(huì)共識(shí)力量的偉大之處呀!

好消息是現(xiàn)在獲取這樣一個(gè)世界級(jí)品質(zhì)保障還不花錢(qián)的東西變得前所未有的簡(jiǎn)單快捷基本上跟著向?qū)c(diǎn)幾下一步就行全程自動(dòng)化處理連人工干預(yù)都不需要等待短短幾十秒就能夠看到成果顯現(xiàn)實(shí)在是居家旅行必備良藥哇塞!(此處再次強(qiáng)調(diào)一下我們這邊也有一整套傻瓜式操作流程歡迎大家前來(lái)圍觀試用哈!)

總之記住一句話: 內(nèi)部玩票可以用self-signed; 出門(mén)迎賓務(wù)必找trusted ca. 分清楚這兩條涇渭分明的道路才能少走彎路直達(dá)彼岸花開(kāi)滿園春色盎然美好未來(lái)等著大家一起去創(chuàng)造吧加油!!!