SSL证书和HTTPS证书不是一回事吗？
很多人在配置网站安全时，经常把SSL证书和HTTPS证书当成两个不同的东西，其实这从源头上就理解错了。严格来说，并没有所谓的“HTTPS证书”这个独立存在。我们常说的HTTPS证书，实际上指的就是SSL证书（或它的继任者TLS证书）。
HTTPS是协议，SSL是技术支撑
HTTPS全称是“超文本传输安全协议”，它是在HTTP基础上加了一层加密传输机制。而实现这层加密的关键，就是SSL（安全套接层）或者现在更常见的TLS（传输层安全）。你可以把它想象成快递包裹外面加了个密码锁箱——HTTP是普通纸箱，谁都能看；HTTPS是那个带锁的箱子，而SSL/TLS就是那把锁的钥匙系统。
当你访问一个以 https:// 开头的网站时，浏览器会检查服务器有没有合法的SSL证书。这个证书由权威机构签发，用来证明“这台服务器确实是它声称的那个网站”，防止中间人冒充。
证书是怎么工作的？
SSL证书包含网站域名、公钥、签发机构、有效期等信息。当用户访问站点时，服务器会把证书发给浏览器，浏览器验证通过后，双方用里面的公钥协商出一个临时密钥，之后的数据传输都用这个密钥加密。
举个生活化的例子：你去银行办业务，柜员要确认你是本人。SSL证书就像你的身份证，银行（浏览器）看了证件没问题，才允许你操作账户。
常见误区：买HTTPS证书？
很多服务商页面写着“购买HTTPS证书”，听起来好像真有这种东西。其实他们卖的还是SSL/TLS证书。因为HTTPS本身是协议，不能“买”，能买的只有用来实现加密的证书。
比如你在阿里云、腾讯云申请免费或付费的证书服务，最终拿到的都是SSL格式的文件，需要部署到Nginx、Apache这类服务器软件中才能启用HTTPS。
怎么启用HTTPS？
以Nginx为例，配置SSL证书大致是这样：
server {
listen 443 ssl;
server_name example.com;
ssl_certificate <path>/fullchain.pem;
ssl_certificate_key <path>/privkey.pem;
location / {
proxy_pass http://localhost:3000;
}
}这里的 ssl_certificate 和 ssl_certificate_key 就是你从证书颁发机构下载的SSL证书文件。配置完成后，网站就能通过https访问了。
现在都用TLS，为什么还叫SSL？
虽然目前主流已经是TLS 1.2 或 TLS 1.3，但“SSL”这个词已经深入人心，大家习惯性地把这类证书统称为SSL证书。就像有人把所有抽纸叫“舒洁”一样，成了通用代称。
所以，下次听到“HTTPS证书”，直接理解为“用于实现HTTPS的SSL/TLS证书”就行了。它们不是并列关系，而是目的与手段的关系。