免费 SSL 证书早就不是问题了——Let's Encrypt 把证书成本降到零，真正的麻烦在流程：去哪申请、怎么自动续期、装完怎么确认配置没漏。这篇不列证书厂商排行榜，而是按「从零给自己的站上 HTTPS」的实际顺序，把源头、客户端和检测工具串成一条线。
评选标准
- 按流程排，不按名气排：先搞清证书从哪来，再挑一个工具把证书装上，最后验证配置。同一个工具在别的榜单里可能排前面，在这里的位置由它在流程里的作用决定。
- 免费够用，但必须能续期：个人站和小项目用免费证书完全够。判断标准不是「能不能免费拿」，而是「能不能自动续期」——90 天有效期，靠手动更新迟早会漏。
- 国内要打得开，报告要看得懂：工具站点本身得能访问，界面或报告最好有中文。检测工具要指出具体哪一项不达标，而不是只丢一个分数。
怎么用
- 先确认服务器能不能用 80 端口——申请证书要在域名上做一次所有权验证：HTTP-01 走 80 端口，DNS-01 走一条 DNS 记录。80 端口被占用或封掉的，直接用 DNS 验证，顺便还能申请通配符证书。
- 把自动续期当必选项，不是加分项——免费证书只有 90 天。挑工具时先问「它怎么续期」，再问「它好不好用」。续期靠定时任务的，装完确认任务真的在跑。
- 装完必须验一遍——浏览器不报错不代表配置没问题。用检测工具看证书链是否完整、支持哪些协议。证书链缺中间证书是最常见的坑：桌面浏览器有时会自己补齐，手机和微信里会直接打不开。
- 留一条到期提醒——自动续期失败通常没人会通知你。客户端和检测工具都能设到期提醒，留一条兜底，比事后排查便宜得多。
榜单
-
免费证书的源头，先搞清它是怎么回事，后面的工具才看得懂
它不是一个「下载工具」，而是一家证书颁发机构：免费签发、自动化、只验证域名所有权。这篇里好几个工具本质上都是它的客户端或兼容实现。理解了它的规则——90 天有效期、必须配合自动续期、不显示企业身份——就理解了免费 HTTPS 的全部边界。
要注意它只负责签发证书，不管服务器怎么配、证书怎么装。拿到证书之后部署到 Nginx、Apache 或 IIS 上，得另找工具或自己动手。
-
不想碰命令行的话，这是上手成本最低的一条路
它把「申请 → 验证 → 安装 → 续期」压进一个桌面应用：输入域名、选 HTTP 或 DNS 验证，证书直接装到本机；Windows 服务器上还能一键部署到 IIS。开源免费，界面是中文，全程不用敲命令。对不熟悉终端的人，这是最快能让站点跑起 HTTPS 的方式。
要注意自动续期依赖应用常驻后台，个人电脑不常开机的话，记得把开机自启和到期提醒都打开，否则证书会静默过期。它是 TopSSL 出品——也就是本站作者自己的产品，这里如实标明，名次按同一套标准排。
-
服务器上的标准做法，配好之后基本不用再管
EFF 官方维护，是 Let's Encrypt 最主流的命令行客户端。装好后一条命令就能申请证书、自动写入 Nginx 或 Apache 的配置，续期交给系统定时任务。服务器是 Linux、你也愿意敲几条命令的话，这是长期最省心的方案——配完就忘了它，到期它会自己续。
要注意只有命令行界面，没有图形界面。它会读写服务器的 Web 配置，动手前先备份配置文件。
-
需要企业身份、发票或国密合规时，走付费证书这条线
免费证书只验证域名所有权，地址栏不显示企业信息。网站要展示企业身份、采购要求开发票、或者走政企与信创合规，就得用 OV 或 EV 证书。它把 DV / OV / EV、通配符、多域名和国密证书列得比较清楚，国产 CA 的选择也一并给出。本站作者自己的产品，一并标明。
要注意付费产品，价格随品牌和年限变化，下单前核对授权范围与签发周期。它也有免费证书，但用途和付费证书不是一回事。
-
业内最常被引用的评级，配置做到位了拿它验收
Qualys 出品的 SSL 服务器测试，给出 A+ 到 F 的评级，并逐项列出协议支持、密钥交换、证书链、已知漏洞和浏览器兼容性。它的报告是行业里被引用最多的标准，客户或合作方要你证明「HTTPS 配置合格」时，给这个链接通常就够了。
要注意一次完整测试要跑几分钟，排队时更久。评级偏严格，为了冲 A+ 去关掉旧协议之前，先确认没有老设备依赖它们。
还可以看看
-
Mozilla SSL 配置生成器 ↗
按你的服务器软件和版本生成一份推荐的 SSL 配置。改配置之前先在这里拿一份对照，比照着过时的博客抄安全得多。
-
acme.sh ↗
纯 Shell 写的 ACME 客户端，不依赖 Python，几乎任何 Linux 都能跑，内置多家 DNS 服务商的自动验证。服务器环境比较杂、装不上 Certbot 时，这是最常见的替代方案。
常见问题 · SSL 证书与 HTTPS 工具
- 免费 SSL 证书和付费的差在哪？
- 差在验证级别和保障，不差在加密强度。免费证书只验证域名所有权（DV）；付费的 OV 会核实企业身份，EV 更进一步，浏览器地址栏会显示企业名称。加密强度取决于服务器配置的协议和加密套件，跟证书价格无关。个人站和展示型网站用免费证书完全够；需要展示企业身份、走采购开发票时再考虑付费。
- 证书 90 天就到期，忘了续会怎样？
- 浏览器会直接拦截，显示「连接不安全」或「证书已过期」，用户要点「继续访问」才进得去；微信这类内置浏览器往往直接打不开。这就是为什么自动续期必须配好——而且装完要确认续期任务真的在跑，「装完就忘」是这类故障最主要的原因。
- 装完 HTTPS，为什么手机打不开、电脑却正常？
- 最常见的原因是证书链不完整：服务器只发了站点证书，没发中间证书。桌面浏览器有时会自己补齐，手机和微信不会，于是直接报错。用检测工具看「证书链」那一项，缺中间证书就把它一起配进服务器。
- 要不要把 HTTP 全部跳转到 HTTPS？
- 要，而且用 301 永久跳转。留着 HTTP 可访问会让同一个页面有两个地址，既不利于收录，也不安全。先在服务器上确认 HTTPS 完全正常，再打开全站跳转，否则跳过去打不开更麻烦。
- 国密证书是什么，普通网站需要吗？
- 国密证书（SM2）用的是中国自主的密码算法，主要用于政企、金融、信创这类有国产化要求的场景。普通个人站和企业官网用国际通用证书就行——主流浏览器对国密的支持还不完整，装了反而可能带来兼容问题。
排序与描述是编辑判断，不构成法律意见；授权、价格和服务条款以原站为准。描述有误或链接失效，告诉我们。
