SEO 百科

免费证书

本页目录

免费证书 由不收费的证书颁发机构签发，最常见的一家是 Let’s Encrypt，发的是域名验证（DV）这一档。它把装 HTTPS 的门槛降到几乎为零，个人站和小站也能拿到一张正规证书，主流浏览器都认。免费不等于省心：这类证书有效期短，续期必须自动化，也有几种情况本该另找付费证书。

免费在哪、又没免什么

真正免掉的是证书本身的费用。Let’s Encrypt 是非营利机构，依靠赞助商和捐助把签发服务免费开放，目标是让更多人用上 HTTPS^[1]。它自己不向订阅者收费。

没免掉的是配套开销。域名、跑网站的服务器、还有你花在配置和续期上的时间，都不在这张免费证书的覆盖里。有些集成方（比如主机商）会在免费证书上收一笔小额管理费，那是它代你配置和续签的人工成本，不是证书本身的价钱^[1]。

免费证书用 ACME 协议签发。这是一套让软件自动向 CA 申请、续期证书的协议，站长不用手工走邮件和电话核验。流程是一个 ACME 客户端向 Let’s Encrypt 发起请求，CA 出一个“挑战”，客户端在站点上摆好应答，CA 验证通过就签发。

验证域名控制有三种挑战。最常用的是 HTTP-01：客户端把一个带 token 的文件放到约定路径，CA 通过公网取回核对，这条路只能走 80 端口^[2]。要签带通配符的 *.example.com，得改用 DNS-01，在域名解析里加一条 TXT 记录^[2]。

Let’s Encrypt 的证书默认只有 90 天有效期，还提供 6 天的短周期选项^[3]。周期短是故意的：它限制证书被误签或私钥泄露后的损害，同时逼着大家把续期做成自动，而不是等人去记日子^[3]。行业规则还会把有效期上限继续压到 47 天，改由人工去续，迟早会漏。

续期的时机官方给得很具体。稳妥的做法是在证书还剩三分之一寿命时就重签，对 90 天证书就是到期前 30 天；更直接的做法是接入 ACME 续期信息（ARI），客户端每天查两次，由服务端提示什么时候该续^[4]。下面是一个每天检查、临期才续的排程写法，以常见的 certbot 为例：

0 3 * * * root certbot renew --quiet --deploy-hook "systemctl reload nginx"

只要续期跑在定时任务里，证书到点自己换新，网站不用管。真正让免费证书出问题的不是免费本身，而是装完之后没人管续期。

对绝大多数网站，一张免费的 DV 证书就够了。DV 签出来的连接，加密强度和付费证书一样，浏览器地址栏同样是锁、同样是 HTTPS。Let’s Encrypt 的证书被主流浏览器和操作系统信任，覆盖面早已铺满^[1]。搜索和收录也不看证书是不是花钱买的，只看它有效无效。

需要向访客亮明“这个站点属于某家公司”的电商、机构门户，或者要求证书带单位身份字段的合规场景，才考虑付费的 OV、EV。这些属于身份核验的取舍，和加密保护无关。

有几种情况，免费证书不合适。要组织验证或扩展验证（OV、EV）的，Let’s Encrypt 只提供 DV，这两类它不签，理由是没有办法自动化签发^[1]，只能另找支持它们的 CA。

不想自己碰续期、希望有人兜底的，要注意 Let’s Encrypt 用自动化压成本，不给订阅者提供直接技术支持^[1]。这类需求通常由主机商或托管服务把免费证书打包代管，出问题有人接。

域名一多，还要留意限额。一次给上万个域名签发、又不复用已有证书，容易撞到 Let’s Encrypt 的签发限额^[4]。这类要把证书和密钥存好、走续期而非新签，才不会被限。

证书免不免费，不影响抓取。搜索引擎不看价格，只看证书对不对。风险全在过期这一头：证书一失效，Google 就把这个 HTTPS 页面看成“SSL 证书无效”，转而更偏向 HTTP 版本作为规范网页^[5]。到那一步，等于把之前建起来的 HTTPS 规范化优势丢掉。

也就是说，用免费证书做 SEO 的唯一红线，是别让它在没人盯的时候过期。把续期自动化跑起来，90 天一换和一年一换在抓取上没有任何区别；没自动化的，越短的有效期越危险。

一个误用是装上就不管。默认 90 天有效期，没配自动续期，两三个月后站点在某个凌晨悄悄变成不安全。

另一个误用是把免费当成不安全。免费 DV 和付费 DV 的加密一样，浏览器信任也一样，省下的只是核验费用和人工。

还有一个误用是要通配符却按 HTTP-01 走。HTTP-01 签不出通配符域名，得改用 DNS-01^[2]，验证方式选错会直接签发失败。

无。