https网站搭建 第1篇
三、如何实现域名https化
1. 购买证书；2. 部署证书
四、常见问题
HTTPS（全称：Hyper Text Transfer Protocol over Secure Socket Layer），是以安全为目标的HTTP通道，简单讲是HTTP的安全版。
实现HTTPS对您的网站会有什么好处呢？
网站更安全，账号密码加密保护，网站受人信赖，网站更加的专业、强大！
（如果您不想为域名实现https化，直接使用http域名，也不影响域名正常使用和访问）
↓ 实现https效果
【版本】网站入门版及以上版本
【注意】
域名需要能正常访问才能部署成功，如域名无法访问请先处理访问问题
暂不支持.RU的域名购买
域名绑定所访问的网站须为凡科建站网站，否则部署失败
本文主要指引在凡科购买证书，凡科购买可实现自动化部署，实现域名https更便捷
主要是以下两步：
1. 购买证书（88元/年，2023年2月9日起首次购买建站版本，系统自动赠送88元证书现金券用于抵扣）
2. 证书部署
https网站搭建 第2篇
超文本传输协议HTTP协议被用于在Web浏览器和网站服务器之间传递信息。HTTP协议以明文方式发送内容，不提供任何方式的数据加密，如果攻击者截取了Web浏览器和网站服务器之间的传输报文，就可以直接读懂其中的信息，因此HTTP协议不适合传输一些敏感信息，比如信用卡号、密码等。为了解决HTTP协议的这一缺陷，需要使用另一种协议：安全套接字层超文本传输协议HTTPS。 HTTPS（全称：Hyper Text Transfer Protocol over Secure Socket Layer 或 Hypertext TransferProtocol Secure，超文本传输安全协议），是以安全为目标的HTTP通道。HTTPS并不是一个新协议，而是HTTP+SSL（TLS）。原本HTTP先和TCP（假定传输层是TCP协议）直接通信，而加了SSL后，就变成HTTP先和SSL通信，再由SSL和TCP通信，相当于SSL被嵌在了HTTP和TCP之间。
SSL 是“Secure Sockets Layer”的缩写，中文叫做“安全套接层”。它是在上世纪90年代中期，由网景公司设计的。到了1999年，SSL 应用广泛，已经成为互联网上的事实标准。IETF 就把SSL 标准化。标准化之后SSL被改为 TLS（Transport Layer Security传输层安全协议）。
SSL协议分为两层
SSL协议提供的服务： 1）认证用户和服务器，确保数据发送到正确的客户机和服务器 2）加密数据以防止数据中途被窃取 3）维护数据的完整性，确保数据在传输过程中不被改变。 HASH是把任意长度的输入（又叫做预映射pre-image）通过散列算法变换成固定长度的输出，该输出就是散列值。Hash算法特别的地方在于它是一种单向算法，用户可以通过hash算法对目标信息生成一段特定长度的唯一hash值，却不能通过这个hash值重新获得目标信息。因此Hash算法常用在不可还原的密码存储、信息完整性校验等。 常见的HASH算法：MD2、MD4、MD5、HAVAL、SHA、SHA-1、HMAC、HMAC-MD5、HMACSHA1。
共享密钥加密（对称密钥加密）：加密和解密使用相同密钥。对称加密算法：DES、3DES、DESX、Blowfish、IDEA、RC4、RC5、RC6和AES。公开密钥加密（非对称密钥加密）：公开密钥加密使用一对非对称的密钥。一把叫做私有密钥，一把叫做公开密钥。私有密钥不能让其他任何人知道，而公开密钥则可以随意发布，任何人都可以获得。使用此加密方式，发送密文的一方使用公开密钥进行加密处理，对方收到被加密的信息后，再使用自己的私有密钥进行解密。利用这种方式，不需要发送用来解密的私有密钥，也不必担心密钥被攻击者窃听盗 走。常见的非对称加密算法：RSA、ECC（移动设备用）、Diffie-Hellman、El Gamal、DSA（数字签名用）。但由于公开密钥比共享密钥要慢，所以我们就需要综合一下他们两者的优缺点，使他们共同使用，而这也是HTTPS采用的加密方式。在交换密钥阶段使用公开密钥加密方式，之后建立通信交换报文阶段则使用共享密钥加密方式。
如何证明公开密钥本身是货真价实的公开密钥？如，正准备和某台服务器建立公开密钥加密方式下的通信时，如何证明收到的公开密钥就是原本预想的那台服务器发行的公开密钥。或许在公开密钥传输过程中，真正的公开密钥已经被攻击者替换掉了。这个时候就需要第三方公证单位来帮忙啦。 CA就是一个公认的公证单位，你可以自行产生一把密钥且制作出必要的证书数据并向CA单位注册，那么当客户端的浏览器在浏览时，该浏览器会主动向CA单位确认该证书是否为合法注册过，如果是，那么该次连接才会建立，如果不是，浏览器会发出警告信息，告知用户应避免建立连接。所以说，如此一来WWW服务器不但有公证单位的证书，用户在建立连接时也比较有保障。
当你在浏览器的地址栏上输入https开头的网址后，浏览器和服务器之间会在接下来的几百毫秒内进行大量的通信
1. 客户端浏览器向服务器端发送如下信息：
（1）客户端支持的SSL /TLS协议的版本号。 （2）Cipher Suite（密钥算法套件）。 （3）客户端产生的随机数，稍后用于生成_对话密钥_。
2. 服务器端向客户端发送如下信息：
要使数字证书有用，它的结构必须采用一种可理解且可靠的形式，以便人们可以轻松地检索并理解证书内的信息。例如，护照采用这样一种结构：人们可以轻松地理解以前从未见过的那一类护照中的信息。同样，只要数字证书是标准化的，则无论颁发该证书的是哪个机构，人们都可以阅读并理解该证书。
S/MIME 标准规定：用于 S/MIME 的数字证书应遵守国际电信同盟 (ITU) 标准。S/MIME版本 3 明确要求数字证书应遵循 的第 3 版。由于 S/MIME 依赖于已建立的数字证书结构公认标准，因此 S/MIME 标准建立在该标准的发展之上，从而提高了它的认可度。 标准规定数字证书应包含标准化信息。具体地说， 版本 3 证书包含下列字段：
3. 客户端利用服务器传过来的信息验证服务器的合法性。如果合法性验证没有通过，通讯将断开；如果合法性验证通过，则可以知道认证服务器的公开密钥的是真实有效的数字证书认证机构，并且服务器的公开密钥是值得信赖的。（此处认证机关的公开密钥必须安全地转交给客户端。使用通信方式时，如何安全转交是一件很困难的事，因此，多数浏览器开发商发布版本时，会事先在内部植入常用认证机关的公开密钥。）
4. 客户端随机产生一个用于后面通讯的对称密钥，然后用服务器的公钥对其加密，然后将加密后的对称密钥传给服务器。
client向server发送请求，然后连接到server的443端口，发送的信息主要是随机值1和客户端支持的加密算法。 server接收到信息之后给予client响应握手信息，包括随机值2和匹配好的协商加密算法，这个加密算法一定是client发送给server加密算法的子集。 随即server给client发送第二个响应报文是数字证书。服务端必须要有一套数字证书，可以自己制作，也可以向组织申请。区别就是自己颁发的证书需要客户端验证通过，才可以继续访问，而使用受信任的公司申请的证书则不会弹出提示页面，这套证书其实就是一对公钥和私钥。传送证书，这个证书其实就是公钥，只是包含了很多信息，如证书的颁发机构，过期时间、服务端的公钥，第三方证书认证机构(CA)的签名，服务端的域名信息等内容。 客户端解析证书，这部分工作是由客户端的TLS来完成的，首先会验证公钥是否有效，比如颁发机构，过期时间等等，如果发现异常，则会弹出一个警告框，提示证书存在问题。如果证书没有问题，那么就生成一个随即值（预主秘钥）。 客户端认证证书通过之后，接下来是通过随机值1、随机值2和预主秘钥组装会话秘钥。然后通过证书的公钥加密会话秘钥。 传送加密信息，这部分传送的是用证书加密后的会话秘钥，目的就是让服务端使用秘钥解密得到随机值1、随机值2和预主秘钥。 服务端解密得到随机值1、随机值2和预主秘钥，然后组装会话秘钥，跟客户端会话秘钥相同。 客户端通过会话秘钥加密一条消息发送给服务端，主要验证服务端是否正常接受客户端加密的消息。
同样服务端也会通过会话秘钥加密一条消息回传给客户端，如果客户端能够正常接受的话表明SSL层连接建立完成了
1、认证服务器：浏览器内置一个受信任的CA机构列表，并保存了这些CA机构的证书。第一阶段服务器会提供经CA机构认证颁发的服务器证书，如果认证该服务器证书的CA机构，存在于浏览器的受信任CA机构列表中，并且服务器证书中的信息与当前正在访问的网站（域名等）一致，那么浏览器就认为服务端是可信的，并从服务器证书中取得服务器公钥，用于后续流程。否则，浏览器将提示用户，根据用户的选择，决定是否继续。当然，我们可以管理这个受信任CA机构列表，添加我们想要信任的CA机构，或者移 除我们不信任的CA机构。
2、协商会话密钥：客户端在认证完服务器，获得服务器的公钥之后，利用该公钥与服务器进行加密通信，协商出两个会话密钥，分别是用于加密客户端往服务端发送数据的客户端会话密钥，用于加密服务端往客户端发送数据的服务端会话密钥。在已有服务器公钥，可以加密通讯的前提下，还要协商两个对称密钥的原因，是因为非对称加密相对复杂度更高，在数据传输过程中，使用对称加密，可以节省计算资源。另外，会话密钥是随机生成，每次协商都会有不一样的结果，所以安全性也比较高。
3、加密通讯：此时客户端服务器双方都有了本次通讯的会话密钥，之后传输的所有Http数据，都通过会话密钥加密。这样网路上的其它用户，将很难窃取和篡改客户端和服务端之间传输的数据，从而保证了数据的私密性和完整性。
4、PKI（Public Key Infrastructure）公钥基础设施是提供公钥加密和数字签名服务的系统或平台，目的是为了管理密钥和证书。一个机构通过采用PKI 框架管理密钥和证书可以建立一个安全的网络环境。PKI 主要包括四个部分：
1. 格式的证书（ V3）和证书废止列表CRL（ V2） 2. CA 操作协议； 3. CA管理协议； 4. CA 政策制定。
通用的证书格式包含三个文件：key，csr，crt。
[root@localhost ~]# yum install mod_ssl -y
[root@localhost ~]# vim /etc/httpd/
[root@localhost ~]# systemctl restart httpd
通过浏览器访问或者curl --insecure https://IP地址
https网站搭建 第3篇
进入nginx的配置文件里“ vim etc/nginx/ _ 找到server板块，你可以在里面看到http的设置和https的设置（https，没设置的话是被注释掉的）
红线前的为之前所设置的http网站的内容，红线下的则是还未设置的https的内容，设置前需要知道非对称加密算法
首先在根目录下“/”创建一个目录及文件：mkdir -p /www/wy 然后往这个wy的文件里传输html文件
将证书制作到etc目录下的nginx里
制作私钥使用命令：openssl genrsa -aes128 2048 > /etc/nginx/
制作好后，需要对私钥加密，就需要输入密码，制作好的私钥就在/etc/nginx里，可以用cat来查看
制作证书使用的命令：
openssl req -utf8 -new -key /etc/nginx/ -×509 -days 365 -out /etc/nginx/
证书的信息还需要录入：
然后即可，现在私钥，证书都有了
但nginx有个特殊项：要将私钥的密钥给去掉
cd到etc里的nginx，复制一份密钥，
然后即可
输入vim /etc/nginx/ 找到server模块，将下面被注释掉的https给修改了
可以将ipv6那行删除掉
最重要的就是有注释的那几行，其他的不用进行修改，也可以将其删除，检查没问题后将其保存退出即可,退出后检查一下nginx是否有问题“nginx -t”没问题后重启nginx即可
最后在浏览器里输全网址https://xxxx