网站 https 用 self-signed 的证书，是不是并没有什么卵用？

[yazoox]

如题，楼主做了个人小网站，用户个人的一些照片和文件，想切换成 https，这样数据传递更安全一些。但是查看了一下 CA 证书，最便宜的貌似都要 300RMB 左右一年，用不起啊。

打算在服务器上添加 self-signed certificate。但感觉用这类证书保护的 https 并没有用。中间传递的信息是不是依然很容易被拦截并解密？

不是很懂，谢谢！

[yyfearth]

有免费的 https://letsencrypt.org/ 为什么还要自签

不过自签的也还是可以保证安全的 只要你手动在系统里面安装对应的自签证书 就可以了

[yazoox]

@yyfearth 大兄弟，我不太懂。
自签有用么？我总感觉，我服务器发送给客户端的数据，“坏人”在互联网中间可以拦截，然后解开...... T_T
去研究一下 letsencrypt.org ，以前不知道有这个

[Tinet]

@yazoox 要解开得有私钥，只要你自签的私钥不泄漏出去，坏人是解不开的

[miyuki]

自签与否和会不会被拦截不成关系

为什么选择正规证书？因为大家系统默认都信任这个 CA 颁发的证书，因为正常的 CA 不会去胡乱签发证书

假如你在你的系统信任了你自签的证书，那么使用起来和正规证书没有区别的

[liuminghao233]

上个 cloudflare 就好了

[est]

自签安全性其实比 PKI 高。前提是你能让你的用户都主动安装你的证书。

[xiaodongus]

https://freessl.org 免费一年的

[yazoox]

好像懂了...... 一点点。谢谢大家。

[DeadLion]

免费的不要太多

[janus77]

厂商颁发的相当于公信机构
自签名相当于内部使用
不管哪种都能保证安全

[0bit]

可以用 letsencrypt+nginx，也可以直接用 caddy，很好用，直接配置好的 https

[dndx]

简单来说：自签是没什么卵用。

[justfly]

自签在加密上和买的证书没有任何区别，关键是浏览器会检查是不是合法 CA 签署的，如果不合法浏览器会拒绝访问，极大影响你网站的访问量。

自签会带来安全风险：比如如果用户在浏览器发出警报的情况下选择忽略而继续访问，用户是没有办法识别有没有中间人的。

现在很多免费的证书，搞一个不麻烦。

[kchum]

只少数人用, 好像可以上 双向认证