我见过太多人为了一个“https”的书免小绿锁掏钱。某次给朋友的书免小公司排查网站问题，他指着账单抱怨：“这证书一年要三千多，书免比服务器还贵。书免”我一看，书免就是书免个普通的企业展示站，没有在线交易，书免没有用户登录，书免纯信息展示。书免这种站点，书免用免费证书完全够用，书免他白交了三年智商税。书免

免费证书不是书免偷工减料的替代品。Let’s Encrypt 这家非营利机构，书免背后有 Mozilla、书免思科、Facebook 等一堆巨头赞助，占了全球证书市场将近一半的份额。你手机里那些大厂 App 的加密连接，不少就是它签发的。技术上前向保密、自动续期，该有的都有。区别只在有效期——免费证书90天就得换一次，付费的能管一年甚至两年。这算是免费方案唯一的“麻烦”，但麻烦可以自动化解决，钱不行。

拿真实数据说话。一个叫“零信”的国产浏览器统计过，国内排名前十万的网站里，超过六成用的是免费证书。连政府网站、高校官网都在用。你搜“工信部 ICP 备案查询”，那个页面的证书就是 Let’s Encrypt 签的。要是真不安全，监管部门第一个不答应。

当然，免费不是万能的。如果你的网站涉及在线支付、用户上传身份证、或者做金融业务，我劝你别省这个钱。付费证书提供组织身份验证——地址栏会直接显示公司名称，用户能确认“这网站确实是某某公司运营的”。免费证书只验证域名所有权，不验证背后是谁。钓鱼网站也能申请到免费证书，所以对信任要求极高的场景，该花还得花。

实际操作起来比想象中简单。阿里云、腾讯云的控制台里，都有“免费申请 SSL 证书”的按钮，填个域名、验证一下所有权，几分钟就签发。配上宝塔面板或者 Nginx 的自动续期脚本，之后基本不用管。我给自己那个只有三百个访客的博客就是这么干的，三年没为证书操过心。

还有个冷门渠道容易被忽略——很多云厂商的新用户套餐里，本身就包含免费证书的长期授权。比如华为云搞活动时，能领到一年期的单域名证书，不用自己折腾部署。多留意厂商的活动页面，能省下不少预算。

说到底，证书只是加密通道的凭证，不是身份的勋章。选免费还是付费，先问自己三个问题：网站有没有收集敏感信息？用户会不会在这里输入密码或银行卡？我是否需要向访客证明“我是正规公司”？三个都否定，直接上免费证书，省下的钱给服务器升个级，体验提升更明显。

最后提醒一句：免费证书别去那种来路不明的“代理”网站申请，有些会偷偷植入跟踪代码。认准 Let’s Encrypt、Google Trust Services 或者国内大厂官方渠道，安全才有保障。证书这东西，免费不等于廉价，关键看签发机构靠不靠谱。