域名SSL证书完全可以自建，但仅限内网测试或开发环境使用，生产环境强烈建议使用受信任的CA机构颁发的证书，否则会导致浏览器安全警告。
很多刚接触网站运维的朋友，看到SSL证书动辄几百上千年的价格，第一反应就是能不能自己搞定，答案是肯定的，技术上完全可行，而且成本为零，自建证书和购买证书在用户体验、安全性以及浏览器兼容性上有着本质的区别，如果你只是在内网跑个服务，或者自己写代码测试HTTPS接口，自签证书是最佳选择；但一旦涉及面向公众的商业网站，自签证书带来的“不安全”红色警告会直接劝退99%的用户。
在深入技术细节之前，我们需要明确自建证书的适用边界，业内专家指出，自签证书的核心价值在于“控制权”和“零成本”，而非“信任背书”。
对于面向互联网的生产环境,自签证书存在以下硬伤：
据工信部相关数据显示，近年来超过80%的正规商业网站已强制启用受信任的SSL证书,自签证书在公网环境中已逐渐边缘化。
如果你确定需要在内网或测试环境使用自签证书，以下是基于OpenSSL的标准操作流程，整个过程分为密钥生成、证书签名请求（CSR）生成、证书签发三个步骤。
私钥是证书的灵魂，必须妥善保管，建议使用强密码保护私钥,防止泄露。
genrsa：生成RSA私钥命令。-aes256：使用AES-256加密私钥文件。-passoutpass:your_password：设置私钥保护密码,请替换为复杂密码。private.key：输出的私钥文件名。CSR包含了你的公钥和身份信息（如域名、组织名），用于向CA申请签名,自签时则用于生成证书。
在执行此命令时，系统会提示输入多项信息,其中最重要的是：
www.example.com或.example.com（通配符）。这是最关键的一步，将私钥和CSR结合,生成有效期内的证书文件。
x509：管理X.509证书格式的工具。-days365：证书有效期为一年，自签证书通常不建议设置过长,便于轮换。-signkeyprivate.key：使用之前的私钥进行自签名。server.crt：最终生成的证书文件。生成后，务必检查证书内容是否符合预期,特别是域名和有效期。
确认输出中的Subject包含正确的域名，Validity时间段符合预期。
证书生成后，需要配置Web服务器才能生效，这里以Nginx为例,展示如何部署自签证书。
打开Nginx配置文件（通常为/etc/nginx/sites-available/default或/etc/nginx/conf.d/default.conf）,添加或修改以下配置：
配置完成后,测试配置语法并重启服务：
由于是自签证书，客户端（浏览器或App）不会自动信任，在内网环境中，通常需要将server.crt导入到客户端的信任证书库中。
.crt文件，点击“安装证书”，选择“本地计算机”，将证书放入“受信任的根证书颁发机构”。.crt文件，在钥匙串访问中双击，将“使用时”改为“始终信任”。/usr/local/share/ca-certificates/，然后执行update-ca-certificates。为了更清晰地展示两者的差异,下表对比了自签证书与CA颁发证书的核心维度。
行业共识认为，随着Let’sEncrypt等免费CA的普及，公网使用自签证书的理由越来越少，除非你有特殊的内网隔离需求,否则应优先选择受信任的证书。
可以自建，但仅限内网或测试环境，自签证书无法通过公共浏览器的信任链验证，会导致“不安全”警告,不适合面向公众的生产环境。
技术上可以设置任意时长，但现代浏览器对自签证书的容忍度极低，即使设置10年有效期，浏览器仍会显示红色警告，建议设置为1年以内，便于定期轮换,降低私钥泄露风险。
唯一方法是手动将自签证书的根证书导入客户端操作系统的“受信任的根证书颁发机构”存储区，对于企业内网，可通过组策略（GPO）批量推送；对于个人用户，需每台设备手动操作,维护成本较高。
自建SSL证书是一把双刃剑，它在提供灵活性和零成本的同时，牺牲了信任背书，在2026年的网络环境中，安全性与用户体验并重，明确场景、合理选型,才是运维的最佳实践。
微信 
电话 
QQ