Nginx配置HTTPS需五步：一、获取并安全存放SSL证书；二、修改server块监听443端口并加载证书与TLS参数；三、新增80端口server块实现301跳转；四、语法验证后重载服务；五、可用Certbot自动化完成证书申请与部署。

如果您在Linux系统中部署Nginx服务，但尚未启用HTTPS加密访问，则用户与服务器之间的通信将处于明文状态，存在被窃听或篡改的风险。以下是为Nginx配置HTTPS的完整操作步骤：

一、获取SSL证书文件

启用HTTPS的前提是拥有有效的SSL/TLS证书。可从权威CA机构申请，或使用Let’s Encrypt免费签发。证书通常包含两个核心文件：域名证书（.crt 或 .pem）和私钥文件（.key）。确保这两个文件已保存至服务器指定目录（如/etc/nginx/ssl/），且权限严格限制为仅root可读。

1、创建证书存放目录：sudo mkdir -p /etc/nginx/ssl。

2、将证书文件上传至该目录，例如：/etc/nginx/ssl/example.com.crt 和 /etc/nginx/ssl/example.com.key。

3、设置私钥文件权限：sudo chmod 600 /etc/nginx/ssl/example.com.key。

二、修改Nginx虚拟主机配置

Nginx需通过server块显式声明443端口监听，并加载证书路径，才能响应HTTPS请求。配置中必须同时启用SSL协议和TLS安全参数，禁用不安全的旧版本（如SSLv2/SSLv3）。

1、打开站点配置文件，通常位于/etc/nginx/sites-available/或/etc/nginx/conf.d/目录下。

2、在server块中添加或替换以下内容：

3、监听443端口并启用SSL：listen 443 ssl http2;。

4、指定证书路径：ssl_certificate /etc/nginx/ssl/example.com.crt;。

5、指定私钥路径：ssl_certificate_key /etc/nginx/ssl/example.com.key;。

6、添加TLS安全配置，例如：ssl_protocols TLSv1.2 TLSv1.3; 和 ssl_ciphers ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256;。

三、配置HTTP自动跳转HTTPS

为确保所有流量强制走加密通道，需将80端口的HTTP请求永久重定向至HTTPS。该操作通过独立的server块实现，避免在主server中混用listen指令造成冲突。

1、在相同配置文件中新增一个server块，监听80端口。

2、添加返回状态码301的重定向指令：return 301 https://$host$request_uri;。

3、确保该server块中不包含ssl_*相关指令，否则Nginx启动时会报错。

四、验证配置并重载服务

语法正确性是Nginx正常加载HTTPS配置的关键前提。任何拼写错误、路径不存在或权限不足都会导致服务启动失败，因此必须逐项验证。

1、检查Nginx配置语法是否有效：sudo nginx -t。

2、若输出包含“syntax is ok”和“test is successful”，则继续下一步。

3、重新加载Nginx配置以使变更生效：sudo systemctl reload nginx 或 sudo nginx -s reload。

4、确认443端口已监听：sudo ss -tnlp | grep :443。

五、使用Certbot自动化配置HTTPS

对于使用Let’s Encrypt证书的场景，Certbot工具可全自动完成证书申请、部署及续期。它直接与Nginx交互，无需手动编辑配置文件，大幅降低出错概率。

1、安装Certbot及其Nginx插件：sudo apt install certbot python3-certbot-nginx（Ubuntu/Debian）或 sudo yum install certbot python3-certbot-nginx（CentOS/RHEL）。

2、执行自动配置命令：sudo certbot --nginx -d example.com -d www.example.com。

3、Certbot将自动检测Nginx配置、申请证书、更新server块并启用HTTPS重定向。

4、验证自动续期是否就绪：sudo certbot renew --dry-run。