About.Domains

证书机构签发之前要确认申请人控制着这个域名，这个确认动作本身可以被路由劫持骗过去。反制的办法是把确认动作放到两个互不相干的网络位置各做一遍，让劫持者无法同时骗过两处。

原本每台浏览器都要自己去问证书机构"这张证书还有效吗"，服务器代为查询、把结果连证书一起交出来，就叫 Stapling。一问一答被省掉，证书机构的压力也小得多。

域名控制权验证是证书机构签发证书前的必做一步：确认申请方确实能控制这个域名。它只证明"你能动这个域名"，不证明"你是哪家公司"。

EV 证书是验证要求最严的一类证书，签发前证书机构要人工核对申请单位的法律身份。它曾经让浏览器地址栏变绿并显示单位名称，2019 年前后各主流浏览器取消了这个显示。

CAA 记录写在域名系统里，用来指定哪几家证书机构可以给自己签证书。没有这条记录，世界上任何一家证书机构都可以签发；写了之后，不在名单上的机构必须拒绝。

证书透明度是一套公开的证书登记日志，签发的每一张公开证书都要记进去。任何人都能查某个域名签过哪些证书，包括不是本人申请的那些。

证书吊销是让一张尚未到期的证书提前失效，通常发生在私钥泄露、域名控制权丧失或签发错误时。浏览器通过证书吊销列表或在线查询来确认证书状态，但吊销机制在实际中并不总是可靠。

ACME 是证书申请与续期的自动化协议，让网站无需人工介入就能获得和更新 TLS 证书。它由 Let's Encrypt 设计，通过验证域名控制权完成签发。第 45 期提到的短有效期证书，正是靠自动续期才变得可行。

证书链是 TLS 证书信任验证的路径，由根证书、中间证书和站点证书组成。浏览器通过内置的根证书库逐级验证，确认站点证书由可信的证书签发机构（CA）签发。链路中间任何一环缺失，验证就会失败。

Let's Encrypt 从 2016 年上线起就规定证书有效期 90 天，当时行业主流证书最长可达一年以上。短有效期能缩短私钥泄露后的危害窗口，也倒逼证书管理自动化。行业正整体向短寿命收敛，按计划到 2029 年所有证书最长有效期将缩至 47 天。

HTTPS 是加密的 HTTP：在 HTTP 之上加入 TLS 加密，防止传输内容被窃听或篡改，并验证服务器身份。普通 HTTP 以明文传输，在公共网络上有被截获的风险。网站通过安装证书签发机构签发的 TLS 证书启用 HTTPS。

登录