网站 HTTPS 证书免费配，我走了一遍
浏览器地址栏那个灰色锁头，我盯了挺久，直到要把官网网址发给别人看，才决定去查网站 HTTPS 证书怎么免费配。它当时只是跑在本地 8083 端口，看起来不算个事。
免费证书完全够个人项目用，下面是我实际走的顺序。
一、网站 HTTPS 证书怎么免费配之前：你需要的是域名，不是 IP
这是最容易卡住的第一步。
证书是签发给域名的，不是签发给 IP 的。如果你现在还在用 IP 直接访问，那得先把域名准备好，并让它解析到你的服务器。
判断标准很简单：你能不能用一个域名打开你的站。能，再往下走；不能，先去解决这一步。
顺便说一句，配证书的过程中你可能会用到 80 端口做验证，所以先确认这个端口没有被别的程序长期占着。
二、申请方式怎么选：自动续期优先
免费证书的申请方式主要有两类：一类是手动申请文件、自己上传配置；另一类是工具自动申请并自动续期。
我的建议很明确：只要你的服务器环境允许，就选自动续期那种。
原因不是省事，是免费证书有效期短，靠人记着续期，迟早会忘。忘了的后果是网站在某天突然变成不安全提示，而你可能几天后才发现。
具体动作：确认你的服务器上能否安装并使用自动申请工具，能就选它。
如果你的服务器前面还有一层代理，也要想清楚证书装在哪一层，装错层的表现是「配置都对但浏览器不认」。
三、配置步骤：端口和证书要一起考虑
申请下来之后，配置上有两件事必须同时做对。
一是让服务能响应加密端口的请求，二是把申请到的证书路径交给服务或前置代理加载。这两处只要有一处写错，浏览器就会报错。
证书申请成功不等于配好了，能打开才算。这一步建议在改完配置后立刻用浏览器验证，别攒着一起测。
四、验证：别只看能不能打开
能打开页面只是及格线。我通常会确认三件事。
第一，浏览器地址栏显示的是正常的锁标识，没有警告；第二，用不带前缀的域名访问时，能不能正确跳到加密地址；第三，站内引用的资源有没有还是用旧协议加载的，混用会触发浏览器的混合内容警告。
这三条都过，才算真的配完。
第三条最容易被漏掉，因为页面主体能打开，只有控制台里报错。它不影响访问，但会影响搜索引擎和部分浏览器的判断。
五、自动续期：配好之后要验证一次
自动续期工具装上不等于会成功续期。它可能因为端口占用、权限不足、解析变更而失败。
我会做一次演练：主动触发一次续期，看它能不能成功，并确认服务不需要人工重启。没演练过的自动续期，和手动没区别。
演练的时候顺便看一眼续期日志，它比浏览器更早告诉你哪里不对。
六、我踩过的两个卡点
第一个卡点是端口占用。自动申请工具需要监听一个端口来完成域名归属验证，如果这个端口被别的程序占了，申请就会失败，而且报错信息不一定直白。
第二个卡点是生效时间。证书配好之后，不同网络环境下的刷新速度不一样，我刚配完在本地看到没变，容易误以为配置错了。
遇到问题先分清是「配置错」还是「还没生效」，这两件事的处理方式完全相反。
配完之后我顺手做的事
配完 HTTPS 之后，我把站内所有写死的旧协议链接改成了相对路径和不带协议的地址。
这一步看着琐碎，但它决定了以后换域名或者换协议时要不要再改一遍。能少写一个前缀就少写一个。走完这一遍，网站 HTTPS 证书怎么免费配就不再是拦路的事了。
常见问题
Q：网站 HTTPS 证书怎么免费配？
A：先准备一个能正常解析的域名，再用自动申请工具签证书并配置到服务上，最后验证浏览器无警告、旧地址能跳转。全程可以不花钱。
Q：免费证书和付费证书的区别大吗？
A：对个人项目来说，主要差别在有效期长短和技术支持，加密能力本身没有区别。免费证书较短的有效期正好适合用自动续期来兜底。
Q：证书配好了但浏览器还是提示不安全怎么办？
A：先确认访问的地址是加密协议、证书域名和你访问的域名完全一致，再看页面里有没有还在用旧协议加载的资源。多数情况是这三处之一。
相关阅读
本文作者西米，37 岁程序员，一个人加五个 AI 员工在跑一家公司。踩过的坑和真实账本都写在公众号「西米分享」。
完整代码、踩坑清单与最新进展，都在公众号。
📱 关注公众号「西米分享」