总有客户问：证书安装是不是很玄乎，要专门派人来做吗？其实主流面板都把流程做得很简单，我们自己培训新同事，就是让他们照着一次真实工单走一遍。下面把SSL证书安装的完整步骤记下来，零基础的照着做，一小时内也能拿下。
第一步：生成CSR并提交申请
在服务器或面板上生成CSR文件，里面包含域名和单位信息，这一步会同时生成私钥，私钥务必保存好且不要外发。把CSR提交给证书服务商，选择验证方式：DV证书一般通过添加DNS解析记录或上传验证文件来证明域名归属，几分钟就能通过。
CSR里的域名要写最终访问的那个，比如客户习惯带www访问，就填www开头的完整域名，主流服务商如今会自动附带裸域，但写之前最好在浏览器里把两个地址都试一遍，确认哪个是主推形式。
第二步：下载并部署证书
验证通过后下载证书包，Nginx、Apache、IIS各有对应格式。以常见的宝塔面板为例：站点设置里选SSL，粘贴证书内容与私钥，保存并开启强制https。SSL证书安装到这一步别急着关页面，先确认证书链文件也一并上传了，缺了中间证书，部分浏览器还是会报错。
不同面板的入口名称略有差别，但要素都一样：证书文件、私钥、证书链三样东西，一处不多一处不少。IIS用户注意导入时要勾选“允许导出私钥”，不然以后迁移会很麻烦。
第三步：全站检查
- 浏览器打开首页，确认地址栏出现锁形图标
- 点开几篇老文章，排查图片和脚本是否还走http
- 后台登录页单独开一遍，很多模板对后台的协议处理是分开的
- 用在线SSL检测工具跑一次评分，协议版本、证书链都在报告里
检查时顺手把浏览器开成无痕模式，排除本地缓存的干扰。手机端也要真机过一遍，模拟器看不出证书链问题，真机上一目了然。
几个容易翻车的细节
最容易栽跟头的是三件事：私钥和证书内容贴反了，面板直接报错；域名带了www但证书只签了裸域；装完忘了做301跳转，搜索引擎收录的新旧地址混杂在一起。这三样检查一遍，基本不会返工。
还有第四件：续期日历没设。SSL证书安装不是一锤子买卖，装完当天就把到期日写进日历，提醒提前一个月设，算是给未来的自己留的保险。
建议
动手之前把站点备份一份，操作失误还能退回来。企业站自己装没把握的，把服务器信息交给比格网络，安装、跳转、全站检测一条龙做完，费用不高，但省下的时间值钱。装完记得把CSR和私钥归档备份，下次续期或者换服务器直接调用，能省不少事。
