一种是域名注册商出具的域名所有权证明，一种是给网站上 HTTPS 的 SSL/TLS 证书，绝大多数人问的是后者，免费的完全拿得到Let's Encrypt、云厂商免费额度、宝塔面板三条路都能走通，十几分钟就能装好一张。
先分清：你说的"域名证书"是哪一种
这两个东西名字撞车,搜索时经常混在一起，先花一分钟对号入座，后面才不会白折腾。
域名所有权证书：注册商后台点一下就下载
这是证明"这个域名归你"的书面凭证，通常在域名注册商的控制台里，找到域名管理页面，点"下载证书"或"域名证书"，会生成一张带注册人信息、注册时间、到期时间的图片或 PDF，它的用途很具体：备案、商标注册、公众号认证、部分平台的主体资质审核。不需要单独申请，域名是你的就有。
SSL/TLS 证书：让浏览器地址栏出现小锁的那个
安装在服务器上,作用是加密传输、把 http 变成 https，浏览器看到有效证书才不报警告，搜索引擎也把它当作基础排名因素之一，行业共识认为，HTTPS 早已从"加分项"变成"及格线"，这也是本文重点讲的部分。
| 对比项 | 域名所有权证书 | SSL/TLS 证书 |
|---|---|---|
| 出具方 | 域名注册商 | CA 机构（证书颁发机构） |
| 获取方式 | 后台直接下载 | 申请、验证、安装 |
| 费用 | 免费（含在域名费里） | 免费到数千元不等 |
| 有效期 | 与域名有效期一致 | 90 天到 1 年 |
| 主要用途 | 资质审核、备案 | 网站加密、消除警告 |
免费域名证书怎么获取？三条主流路子
Let's Encrypt 配 Certbot，命令行首选
Let's Encrypt 是公益 CA，签发的 DV 证书浏览器全部信任，缺点是单张有效期 90 天，得靠自动续期，服务器上有 SSH 权限的话，这套组合最省事。
以 Nginx 为例，Ubuntu/Debian 环境先装工具：
sudo apt update sudo apt install certbot python3-certbot-nginx
然后一条命令搞定申请和自动改配置：
sudo certbot --nginx -d example.com -d www.example.com
如果不想让它动 Nginx 配置，改用 webroot 模式，前提是网站根目录可写、80 端口通：
sudo certbot certonly --webroot -w /var/www/html -d example.com -d www.example.com
证书会落在 /etc/letsencrypt/live/example.com/ 下，fullchain.pem 和 privkey.pem 两个文件填进 Nginx 的 ssl_certificate 和 ssl_certificate_key 即可。
续期不用手动管,certbot 装的时候已经写入定时任务，想验证可以跑：
sudo certbot renew --dry-run
多子域名要通配符证书,把 -d 换成 -d ".example.com" -d example.com，验证方式会自动切到 DNS-01，需要在域名解析里加一条 TXT 记录。
云厂商免费额度，控制台点几下
简米云、酷番云这类平台，每个账号每年通常会放出一定数量的免费 DV 单域名证书额度，在"数字证书管理服务"或"SSL 证书"控制台里申请，选免费证书、填域名、选验证方式（DNS 或文件），验证通过后几分钟签发，然后下载对应服务器类型的压缩包。
优点是全中文界面、有客服、能直接部署到自家的 CDN 和负载均衡；限制是额度按年计算、只支持单域名、到期要重新申请而不是自动续。
宝塔面板 / 1Panel，可视化一键申请
不想碰命令行的话,面板类工具把流程压到了三次点击：登录面板，进入「网站」，点对应站点的「设置」，切到「SSL」标签，选「Let's Encrypt」，勾上要签的域名，点申请，面板会自动完成验证、签发、写入配置和续期任务。
这条路适合个人站长和中小项目,缺点是面板本身出问题时排查链路会长一点。
免费SSL证书和付费SSL证书有什么区别？
这是搜索量最大的疑问之一,答案不复杂，差别集中在验证强度、有效期和服务上，而不是"免费的就一定不安全"。
| 维度 | 免费证书（Let's Encrypt 等） | 付费 DV | 付费 OV / EV |
|---|---|---|---|
| 价格 | 0 元 | 几十到一两百元每年 | 数百到数千元每年 |
| 有效期 | 约 90 天 | 1 年 | 1 年 |
| 验证方式 | 域名控制权 | 域名控制权 | 域名 + 组织实名审核 |
| 浏览器信任 | 完全信任 | 完全信任 | 完全信任 |
| 加密强度 | 与付费同级 | 同级 | 同级 |
| 赔付保障 | 无 | 有，额度不等 | 有，额度较高 |
| 技术支持 | 社区 | 厂商工单 | 专属服务 |
| 适合谁 | 个人站、测试环境、内部系统 | 中小站点 | 企业官网、电商、金融 |
一句话结论：加密能力上没有区别，区别在信任背书和售后。 个人博客、开源项目、测试环境用免费的完全够；对公业务、需要向用户展示主体资质、或者要求 SLA 的场景，付费更稳。
域名证书一年多少钱？按类型给个区间
- 免费型：0 元，代价是每 90 天左右续一次，多数情况能自动完成。
- DV 单域名：几十元到两百元上下，促销时更低。
- DV 通配符：几百元级别，适合子域名多的站。
- OV 单域名：几百到一两千元，需要提交营业执照等材料。
- EV 证书：价格更高，审核更严，地址栏展示优势在主流浏览器里已经弱化。
价格波动大,同一款证书不同渠道能差出一倍，下单前对比官方渠道和代理商报价即可。
个人网站域名证书怎么申请？按场景选方案
一台 VPS 跑个人博客
选路径一,certbot 一条命令解决，之后基本不用再管，记得把 80 和 443 端口在安全组里放行，否则验证会失败。
站点挂在 CDN 后面
证书要装在 CDN 侧，而不是源站，云厂商控制台里找到 CDN 域名配置，上传证书或直接选用已有证书，源站那一层可以保留自签或免费证书，注意开启"强制 HTTPS 跳转"。
企业官网，需要展示主体信息
走 OV 证书，准备营业执照、法人信息、电话核验，审核周期一般几个工作日，遇上材料不全会更久，别等到上线前一天才申请。
多子域名、多环境
优先通配符证书,一张覆盖 .example.com，测试环境可以单独用自签证书，只要团队内部认可即可，但别把这个习惯带到生产环境。
部署环节最容易踩的坑
- 80 端口没开，HTTP-01 验证直接失败，报错信息通常写得很含糊，先查安全组和防火墙。
- 域名解析没生效就急着申请，验证请求打不到你的服务器，等 TTL 过期再说。
- 只签了裸域没签 www，用户访问 www 版本照样报警告，申请时两个都加上。
- 页面里还有 http 资源，也就是混合内容，锁是绿的但控制台一片红，把图片、脚本、字体全部换成 https 或相对路径。
- 自动续期没验证过，等到第 89 天发现证书过期，站点直接不可访问，装完当天就跑一次
--dry-run。 - CDN 和源站证书不同步，回源报错，检查回源协议和端口配置。
关于域名证书的常见问题
免费域名证书有效期多久？到期会不会突然断站？
Let's Encrypt 目前是 90 天，官方在推动更短的周期，所以自动续期这件事必须配好，只要续期任务正常执行，到期前 30 天就会自动换新，用户完全无感，反过来，如果是手动申请的云厂商免费证书，到期不会自动续，记得在日历里加个提醒。
域名证书申请需要备案吗？
证书申请本身和备案无关,CA 只验证域名控制权，但服务器在中国大陆时，域名解析到境内 IP 需要先完成 ICP 备案，否则访问会被拦截这是接入环节的要求，不是证书环节的，境外服务器和 CDN 不涉及这一步。
域名证书申请流程里，DNS 验证和文件验证选哪个？
文件验证要求在网站根目录放一个指定内容的文件,能通过 http://域名/.well-known/... 访问到即可，适合有服务器权限的场景，DNS 验证是加一条 TXT 记录，适合通配符证书、CDN 后面的站、或者 80 端口被占用的环境，两者签出来的证书完全一样，只是验证途径不同，DNS 验证的续期自动化更稳一些。
免费证书在今天已经完全能支撑一个正常运营的网站,关键不在"要不要花钱"，而在"续期有没有人管"，把自动续期跑通、把 https 资源改干净，这两件事做到位，免费和付费在用户体验上几乎没有差别。