服务器证书和CA证书有什么区别，SSL证书怎么选？

服务器证书是装在你的服务器上用来加密站点流量并证明身份的SSL/TLS证书，而CA证书是由证书颁发机构签发的根证书或中间证书，负责验证服务器证书的合法性，两者不是同一类东西，也不能互相替代。

很多站长在第一次配置HTTPS时会分不清服务器证书和ca证书的区别，明明已经按照教程放上了证书文件，浏览器还是报错，问题往往就出在信任链上，要搞清楚这两者,得从它们各自的任务讲起。

服务器证书和ca证书的区别到底在哪

定义不同：一个是被验证者，一个是验证者

服务器证书，也就是我们常说的SSL证书，它绑定了一个域名、一条公钥和一段有效期，当用户访问你的站点时，服务器把这个证书发给浏览器，浏览器用证书里的公钥来协商加密密钥,同时检查证书上的域名和站点是否匹配。

CA证书则完全不同，CA是证书颁发机构，它的证书分为根证书和中间证书，根证书是CA自己给自己签名的，属于整个信任链的源头，中间证书由根证书签发，用来给具体的服务器证书签名，浏览器在收到服务器证书后，会沿着签发关系往上找，直到找到一个它内置信任的根证书,才认为这个服务器证书靠谱。

可以把CA证书想象成一个不露面的介绍人，服务器证书就是站点递给客户的名片，介绍人是否可靠，决定了名片上写的身份能不能被人接受，简单说，服务器证书是“你要证明你是谁”，CA证书是“我证明你没撒谎”。

信任链：从根证书到服务器证书

大多数时候，浏览器不会直接信任服务器证书，因为服务器证书是CA用中间证书签发的,完整的链路是：

• 根证书：预设在浏览器或操作系统信任库里,是信任的起点。
• 中间证书：由根证书签发，作为桥梁,也起到隔离风险的作用。
• 服务器证书：由中间证书签发,装在业务服务器上。

所以你在服务器上部署时，光传一个服务器证书文件往往不够，如果缺少中间证书，浏览器会找不到通往根证书的路径，就会提示“证书链不完整”,这也是服务器证书和ca证书最直观的配合方式。

浏览器验证服务器证书时，会先读取证书里的签发者信息，然后去请求签发者的证书，再沿着签发链逐级回溯，如果中途某个CA证书没有返回，验证就中断了，这就是为什么很多人搜索ssl证书和ca证书的区别,却总是搞不清楚该把哪个文件放到服务器上。

安装位置和文件格式的差异

从运维角度看，两者安装的位置不一样，服务器证书需要和私钥一起放在你的Nginx、Apache或IIS服务器上，对外提供服务，CA证书则通常放在客户端的信任库里,或者作为链文件合并到服务器证书中。

这里要注意，不要直接把CA根证书装到Nginx的ssl_certificate位置上，那样做等于没装服务器证书，浏览器同样会报错，反过来，把服务器证书当成CA证书去导入信任库,也不会产生任何验证作用。

常见误区：它们不能互相替代

有新手会问，既然CA证书能验证服务器证书，那我把CA证书当成服务器证书配上不就行了？不行，CA证书没有对应的域名和私钥，它无法提供网站加密所需的密钥交换能力，反过来，用服务器证书去当CA根证书也存在很大风险,因为它不会被任何客户端信任。

服务器证书和ca证书怎么配合使用

理解了区别，实际操作就顺了，这里以最常见的Nginx环境为例，演示服务器证书怎么安装,以及CA证书链如何发挥作用。

服务器证书怎么安装：从申请到生效

申请服务器证书的流程大致是：

1. 在服务器上生成私钥和CSR证书签署请求,openssl命令示例：

   openssl req -new -newkey rsa:2048 -nodes -keyout example.key -out example.csr

2. 把example.csr内容粘贴到CA机构的管理后台,完成域名验证。

3. 验证通过后，下载证书包，里面通常有example.crt和ca-chain.crt两个文件。

4. 在Nginx配置中，把服务器证书和CA证书链合并成一个文件，比如用

   

   cat example.crt ca-chain.crt > fullchain.pem。

5. 然后在站点配置里指定：

   ssl_certificate /etc/nginx/ssl/fullchain.pem;
   ssl_certificate_key /etc/nginx/ssl/example.key;

6. 重启Nginx,完成。

这一步就是服务器证书和ca证书配合的典型场景：服务器证书在前，CA证书链在后,合并成一个文件给服务器使用。

为什么部署服务器证书时要附带CA证书链

如果只把example.crt单独配置到Nginx里，没有把ca-chain.crt合并进去，那么浏览器收到服务器证书后，沿着签发者信息找不到下一级证书，就会中断检查，行业共识认为，大量HTTPS报错都跟证书链不完整有关,而不是证书本身失效。

配置后常见报错

• 报错“证书链不完整”：说明服务器证书没有带上中间CA证书,需要合并。
• 报错“私钥和证书不匹配”：检查私钥与证书是否来自同一个CSR。
• 报错“证书域名不匹配”：检查证书覆盖的域名是否包含当前访问域名。

用命令验证部署结果

配置完成后,可以用以下命令检查：

openssl s_client -connect yourdomain.com:443 -showcerts

在输出里能看到完整的证书链，包括服务器证书、中间证书和根证书，如果只显示一层，说明链没配置全，也可以去浏览器地址栏点击小锁图标，查看证书路径，确认“完全有效”的提示。

服务器证书过期了怎么办

服务器证书有有效期，通常一年或更短，过期后，浏览器会显示“不安全”，用户访问会跳出红色警告，此时再处理已经有点被动,更合理的做法是提前规划。

提前多久更新

建议在证书到期前30天就启动更新流程，CA机构一般会提前30天发送邮件通知，你可以通过cron脚本自查证书有效期，比如用openssl x509 -enddate -noout -in fullchain.pem命令查看到期时间。

更新步骤

更新时不一定需要更换私钥，但为了安全，很多团队会选择重新生成密钥对,步骤和首次申请一样：

1. 生成新私钥和新CSR。
2. 在CA后台重新验证域名,利用ACME协议可以自动化。
3. 下载新证书文件。
4. 替换到服务器上并重载服务。
5. 再跑一遍openssl s_client确认证书链完整。

如果已经过期，那就要立刻替换，除了一些特殊场景需要重新走验证流程外，常规的域名验证证书可以分钟级完成签发，这也是为什么现在很多人选择免费证书配合自动化脚本，比如使用Certbot申请Let’s Encrypt证书,到期前自动续期。

企业申请服务器证书如何选择ca机构

企业部署HTTPS，考虑的因素比个人站点更多，包括验证级别、价格、技术支持以及是否满足等保合规要求。

按验证级别选

• DV证书：只验证域名所有权，签发速度快，价格低或免费,适合个人站点和内部系统。
• OV证书：验证企业真实身份，浏览器地址栏会显示组织名称,适合企业官网和对外业务。
• EV证书：验证流程最严格，最高信任级别，但现在浏览器地址栏不再统一显示公司名,实际优势在逐渐缩小。

按价格和地域选

服务器证书费用差别较大，不同CA的报价从免费到几千元不等，OV证书通常在几百元到几千元一年，EV证书往往更高，国外CA如DigiCert、GlobalSign、Let’s Encrypt各有侧重，国内CA则有沃通、天威诚信等，还有一些云厂商提供免费证书，如果是等保测评或政企项目，通常建议选择国内CA并由云厂商代签，方便开具发票和获取合规材料，国内用户访问的站点,选择国内CA在资料审核和售后响应上也可能更顺畅。

自动化和集中管理

对于证书数量较多的企业，可以考虑使用ACME协议配合DNS API实现全自动签发和续期，不管是个人还是企业，把证书生命周期管理做成自动化,能省下不少沟通成本。

关于服务器证书和ca证书的常见疑问

服务器证书和ca证书可以合并成一个文件吗？

可以，部署时经常把服务器证书与中间CA证书合并为fullchain.pem，根证书不需要放在服务器上,因为浏览器端已经内置。

自签名证书属于ca证书吗？

不属于，自签名证书是自己签发给自己，没有第三方验证，浏览器默认不信任，它可以作为本地测试用的私有根证书,但必须手动导入客户端信任库才能生效。

缺失ca证书链会有什么后果？

多数情况下，浏览器会提示“证书链不完整”或“不是私密连接”，导致SSL握手失败，尤其移动端App访问自建API时，缺少中间证书会直接报错,排查时优先补齐证书链。