全站HTTPS升级指南：Nginx中SSL证书申请与配置全流程-Nginx-PHP中文网

核心是获取可信SSL证书并正确配置Nginx监听443端口：可选免费Let’s Encrypt（certbot自动部署）或腾讯云/阿里云DV证书；证书须存于/etc/nginx/ssl/并设644/600权限；Nginx配置需用listen 443 ssl、指定pem/key路径、启用TLSv1.2+及强加密套件，并新增80端口server块return 301跳转HTTPS。

全站https升级指南：nginx中ssl证书申请与配置全流程

把网站从HTTP全面升级到HTTPS，核心就两件事：拿到可信的SSL证书，再让Nginx正确加载并响应443端口。整个过程不依赖商业付费（免费证书完全可用），也不需要改代码，关键是路径、权限和配置项不能出错。

申请免费SSL证书（推荐Let’s Encrypt或云厂商）

个人或小项目首选Let’s Encrypt，自动续期、零成本；国内用户用腾讯云、阿里云的免费DV证书更省心，审核快、界面直观。

Let’s Encrypt：安装certbot后执行sudo certbot --nginx，它会自动完成验证、申请、写入证书，并修改Nginx配置
腾讯云/阿里云：进入SSL证书控制台 → 选择“免费型DV SSL” → 填写域名 → DNS解析验证（添加一条TXT记录）→ 几分钟内签发成功
下载时选“Nginx”类型，你会得到两个文件：.pem（或.crt）是证书，.key是私钥；部分厂商还提供.ca-bundle，需合并进.pem或单独配置ssl_trusted_certificate

上传并规范存放证书文件

别直接丢在/home或/tmp下——Nginx主进程通常以root运行，但worker进程可能降权，路径不可写或权限不足会导致启动失败。

SSL Certificate Monitor

检查一个或多个域名的 SSL/TLS 证书到期时间、颁发者、协议及 SAN 信息，用于应要求检查证书、监控到期或验证 HTTPS 等场景。

下载

推荐统一存放在/etc/nginx/ssl/，例如：
/etc/nginx/ssl/example.com.pem
/etc/nginx/ssl/example.com.key
设置权限：证书文件644，私钥必须600（仅属主可读）
sudo chmod 644 /etc/nginx/ssl/*.pem
sudo chmod 600 /etc/nginx/ssl/*.key
确认Nginx用户（通常是www-data或nginx）能读取这两个文件

Nginx HTTPS服务块配置要点

一个干净、安全的HTTPS server块至少包含监听、域名、证书路径和基础TLS策略，缺一不可。

监听必须写成listen 443 ssl;（不是listen 443; ssl on;，后者已过时且易漏配）
ssl_certificate指向.pem文件（含证书+中间链），ssl_certificate_key指向.key文件
强制启用现代协议与强加密：
ssl_protocols TLSv1.2 TLSv1.3;
ssl_ciphers ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256;
加上ssl_prefer_server_ciphers off;（TLS 1.3下该指令无效，但兼容旧版本更稳妥）