随着现代 Web 安全标准的演进，自签名证书正逐渐被主流浏览器遗弃。了解背后的原因及其解决方案。

一、 什么是自签名证书？

自签名证书是由其所有者而非受信任的证书颁发机构（CA）签署的数字证书。虽然它同样能提供加密功能，但它缺乏第三方背书。在浏览器的视角里，使用自签名证书就像是在海关出示一张“自己画的身份证”。

二、 为什么浏览器停止信任它？

现代浏览器（如 Chrome, Edge, Safari）不再默认信任自签名证书，主要基于以下安全逻辑：

  • 中间人攻击（MITM）： 攻击者可以轻易伪造自签名证书拦截流量。由于没有第三方验证，浏览器无法判断当前的证书是源自真正的服务器还是黑客。
  • 信任链缺失： 浏览器内置了受信任的根证书列表。自签名证书不在这个信任链条内，无法追溯其真实性。
  • 用户习惯培养： 长期允许“忽略警告”会让用户对安全风险脱敏，最终导致网络钓鱼泛滥。
当前现状： 即使你手动点击“继续前往”，浏览器仍会在地址栏显示“不安全”或红色斜杠，这会严重损害用户对网站的信任度。

三、 解决步骤：如何迁移至受信任证书

如果您目前仍在使用自签名证书，请按照以下步骤进行受信任化迁移：

第一步：吊销/清理旧证书

在服务器中定位旧的自签名文件（通常为 .crt 或 .pem 结尾），备份并准备替换。

第二步：获取受信任的 CA 证书

现在，您不再需要支付昂贵的费用。通过 CertificateHub 申请免费的受信任证书：

  1. 访问 证书申请页面。
  2. 输入您的域名并完成 DNS 或 HTTP 验证。
  3. 下载由受信任根机构签发的证书包。

第三步：更新 Web 服务器配置

以 Nginx 为例，修改配置文件中的路径指向新下载的受信任证书：

server {
    listen 443 ssl;
    server_name yourdomain.com;

    # 替换为新申请的受信任证书
    ssl_certificate /etc/nginx/ssl/trusted_fullchain.crt;
    ssl_certificate_key /etc/nginx/ssl/trusted_private.key;

    # 推荐开启协议优化
    ssl_protocols TLSv1.2 TLSv1.3;
}

四、 迁移后的收益

1. 绿色锁头： 地址栏显示安全挂锁，消除用户焦虑。
2. SEO 权重： 搜索引擎（尤其是 Google）会优先收录并排名拥有有效 SSL 证书的网站。
3. 完整功能： HTTP/2、地理位置 API、Service Workers 等现代 Web 属性必须在受信任的 HTTPS 下才能运行。

结语

自签名证书的时代已经终结。在免费受信任证书高度普及的今天，坚持使用自签名证书不仅是不安全的，更是对用户体验的巨大破坏。立即行动，为您的站点披上真正的安全护甲。