很多前端同事配置 HTTPS 全凭玄学：证书一放、配置一抄，浏览器报错就百度。其实理解了原理，所有问题都是纸老虎。

HTTPS 解决三个问题

加密（内容别人看不到）、完整性（中途没被篡改）、身份认证（你连的确实是你以为的网站）。前两个靠非对称加密协商出对称密钥，第三个靠证书。

证书在证明什么

证书的本质是"受信任的第三方（CA）为这个域名和这把公钥的绑定关系做担保"。浏览器内置了根证书列表，沿着证书链一级级验证，任何一级对不上就报错——这就是为什么自签名证书会弹红叉：没人替你担保。

实操建议

个人站点用 Let's Encrypt 免费证书，配 certbot 自动续期；注意证书只认证域名，不认证网站内容的善恶，所以"有小锁"不等于"是好站"。