搭建网站之后，把访问协议从http升级到https已经不是一个可选项，而是一个基本要求。浏览器对未加密站点的标记越来越严格，搜索引擎也把https纳入排名因素。但商业SSL证书的价格并不低，对于个人博客、小型项目或者测试环境来说，每年花几百元购买证书显得有些浪费。免费SSL证书因此成了很多站长的第一选择。尤其是那些支持ACME协议自动签发和续期的平台，真正把证书管理成本降到了接近零。
永久免费SSL证书到底是什么
严格来说，没有绝对意义上的永久有效证书。所谓永久免费，指的是平台持续提供免费续签服务，证书本身的有效期通常在90天左右，到期前通过自动续期实现无缝衔接。只要你的域名和服务器状态正常，就可以一直免费使用下去。这和商业证书一年或两年有效期、到期后必须重新付费的模式完全不同。
免费证书的加密强度和商业证书没有本质区别。以Let's Encrypt为例，它签发的证书同样支持RSA和ECC算法，TLS握手过程中使用的加密套件也完全一致。浏览器地址栏同样会显示小锁图标。区别主要在于证书类型，免费平台通常只提供域名验证型证书，也就是DV证书。这类证书只验证你对域名的控制权，不验证企业身份，所以不显示公司名称。对于绝大多数网站来说，DV证书完全够用。
使用免费证书还有一个容易被忽略的好处，就是它强制你建立自动化的证书管理流程。因为90天的有效期太短，手动续期根本忙不过来，反而促使站长配置crontab定时任务或者使用容器化工具自动更新证书。一旦这套流程跑通，后续基本不用再操心证书过期问题。
主流免费SSL证书平台对比
目前真正值得长期使用的免费证书平台其实就那么几个。Let's Encrypt是规模最大、生态最完善的，由非营利组织互联网安全研究小组运营，全球有超过三亿个活跃证书。它的ACME API非常成熟，Certbot、acme.sh等客户端工具都把它作为默认服务端。速率限制方面，每个域名每周最多签发50张证书，每个账户每3小时最多创建300个新订单，对个人和小团队来说绰绰有余。
ZeroSSL是另一个常用选择。它的特点是提供了网页端管理面板，可以直接在浏览器里完成证书申请，不需要在服务器上安装任何客户端工具。这对不熟悉命令行操作的用户非常友好。ZeroSSL还支持一次签发90天有效期的证书，同样提供ACME接口，可以用acme.sh等工具对接。免费版允许一个账户管理3个证书，超出后需要付费，这点需要注意。
BuyPass也是一个值得关注的平台，它提供180天有效期的免费证书，比Let's Encrypt的90天长一倍，这意味着证书更换频率降低一半。不过BuyPass在客户端兼容性上稍弱一些，部分旧设备上的根证书信任链可能不如Let's Encrypt完善。如果你主要面向现代浏览器用户，问题不大。下面用表格把三个平台的关键参数放在一起对比。
| 平台名称 | 证书有效期 | 泛域名支持 | 管理面板 | 速率限制 |
|---|---|---|---|---|
| Let's Encrypt | 90天 | 支持 | 无官方面板 | 每域名每周50张 |
| ZeroSSL | 90天 | 支持（付费） | 有网页面板 | 免费版3个证书 |
| BuyPass | 180天 | 不支持 | 无官方面板 | 较宽松 |
从表格可以看出，如果你需要泛域名证书，Let's Encrypt配合ACME客户端是最成熟的选择。如果你偏好图形化操作，ZeroSSL的网页面板会更顺手。如果你希望减少续期频率，BuyPass的180天有效期有一定吸引力，但泛域名缺失是个硬伤。
免费SSL证书申请实操步骤
以Let's Encrypt为例，最简单的方式是使用acme.sh这个纯Shell脚本工具。它不依赖Python环境，在大多数Linux发行版上都能直接运行。安装acme.sh只需要一条命令，脚本会自动把相关文件放到当前用户目录下，不会污染系统环境。安装完成后，需要先注册一个账户，脚本会生成私钥并保存在本地，安全性和可控性都比较好。
申请证书前要确认你的域名解析已经生效，并且服务器的80端口可以被公网访问。acme.sh默认使用HTTP-01验证方式，它会临时在网站根目录生成一个验证文件，然后让CA服务器通过http协议访问这个文件来确认域名控制权。验证通过后，证书和私钥会保存在用户目录下的隐藏文件夹中。拿到证书后，需要在Web服务器配置中指定证书路径，并重启服务使配置生效。Nginx和Apache的配置方法略有不同，但核心都是把ssl_certificate和ssl_certificate_key指向正确的文件。
自动续期是整个流程中最关键的一步。acme.sh安装时通常会自动添加crontab任务，每天凌晨检查证书到期时间，如果距离过期不足30天就自动申请续签。续签完成后，你还需要设置一个reload命令，让Web服务器重新加载证书文件。这个命令在安装证书时通过install-cert参数指定，之后每次续期都会自动执行。整个过程无需人工干预，证书过期的问题基本可以根除。
DNS验证与泛域名证书
如果你的服务器80端口不方便开放，或者你需要申请泛域名证书，那就必须使用DNS-01验证方式。这种方式不要求服务器可以被公网访问，但需要你在域名DNS解析处添加一条TXT记录。acme.sh支持几十家DNS服务商的API自动添加和删除记录，包括阿里云、腾讯云、Cloudflare等主流平台。配置好API密钥后，证书申请和续期都可以全自动完成，不需要每次手动登录DNS后台修改解析。
泛域名证书可以覆盖主域名和所有一级子域名，比如一张证书同时保护ipipp.com、www.ipipp.com、blog.ipipp.com和api.ipipp.com。对于子域名较多的站点来说，这比给每个子域名单独申请证书方便得多。Let's Encrypt的DNS验证完全支持泛域名，而ZeroSSL的泛域名支持需要付费账户，BuyPass则完全不支持。所以如果你的核心需求是免费泛域名证书，Let's Encrypt几乎是唯一选择。
DNS验证的延迟要比HTTP验证高一些，因为TXT记录从添加到全球生效需要一定时间，通常在一分钟到几分钟之间。acme.sh在处理DNS验证时会自动等待记录生效，这个等待时间可以通过环境变量调整。另外要注意，DNS服务商的API密钥权限要控制好，建议只授予DNS解析相关的权限，不要使用全局管理员密钥，降低安全风险。
免费证书的局限与应对
免费SSL证书最大的短板是没有商业保障和赔付机制。商业证书提供商通常会附带一定金额的安全赔付，如果因为证书问题导致用户损失，可以申请赔偿。免费证书没有这类承诺，出了安全问题责任完全在站点运营方自己。不过对于个人网站和中小项目，这种风险的实际发生概率极低，证书本身的安全性不存在打折扣的情况。
另一个常见问题是兼容性。Let's Encrypt的根证书在2021年经历过一次更换，使用旧版Android系统的设备如果系统证书库没有更新，访问使用新证书的网站会提示证书不受信任。不过这类旧设备占比已经非常小，而且这是所有使用ISRG根证书的CA共有的问题，并非免费证书独有。如果你的用户群体中有大量老旧设备，可以在服务器配置中同时部署交叉签名证书链来兼容它们。
证书管理还有一个务实建议：不要同时使用多个免费CA给同一个域名签发证书。虽然技术上可行，但不同CA的证书在更换时可能触发浏览器缓存和OCSP查询异常，反而增加排查难度。选好一个平台，把自动化续期配置稳，比频繁切换CA要省心得多。免费SSL证书的价值恰恰在于让你把精力从证书本身移开，放到网站内容和用户体验上去。