IIS SSL配置：从证书导入到强制HTTPS的完整落地路径
IIS SSL配置的核心结论是：把证书正确导入“个人”存储区、在站点绑定中选定该证书、再用URL重写规则强制跳转HTTPS，三步走完即可让站点从HTTP平稳切到加密访问。 下面按实际操作顺序拆开讲，尽量让你照着做就能跑通。
先搞清楚：IIS SSL配置到底在配什么
很多人一上来就急着点“绑定”，结果证书选不到、站点打不开，回头排查半天，其实IIS的SSL配置只解决三件事：证书放对位置、站点绑定对端口和主机名、HTTP请求被正确引导到HTTPS，理解这个分工，后面每一步都不会迷路。
业内专家指出,企业站点启用HTTPS的障碍多数不在证书本身，而在绑定环节的主机名匹配与中间证书缺失，这句话值得记一下，后面排查会反复用到。
IIS SSL证书配置的完整操作步骤
第一步：导入证书到正确的存储区
IIS读取证书的位置是“本地计算机”下的“个人”存储区，导入到“当前用户”里，站点绑定界面是看不到的。
- 按
Win + R输入mmc回车，打开控制台 - 菜单“文件”→“添加/删除管理单元”，选择“证书”，点“添加”
- 账户选“计算机账户”→“本地计算机”，确定
- 展开“证书（本地计算机）”→“个人”→“证书”，右键“所有任务”→“导入”
- 选择
.pfx文件，输入导出时设置的密码，勾选“标记此密钥为可导出”（方便以后备份迁移） - 完成后在列表里能看到证书的颁发者和到期时间
如果你拿到的是 .cer 加 .key 的分离文件，需要先用OpenSSL合成pfx，命令如下：
openssl pkcs12 -export -out server.pfx -inkey server.key -in server.cer
第二步：站点绑定里选中证书
打开IIS管理器,左侧选中目标站点，右侧点“绑定”，添加一条HTTPS绑定：
- 类型选
https，端口默认443 - IP地址按需选择“全部未分配”或指定IP
- 勾选“需要服务器名称指示”（SNI），同一IP跑多个HTTPS站点时必须勾
- SSL证书下拉框选中刚导入的那张
绑定完成后浏览器访问 https://你的域名 测试，若报证书链不完整，通常是服务器没带中间证书，重新导出pfx时把中间证书一并打包即可。
第三步：强制HTTP跳转HTTPS
光有443监听不够,用户输 http:// 仍然走明文，推荐用URL重写模块处理，在站点根目录 web.config 中加入规则：
<system.webServer>
<rewrite>
<rules>
<rule name="Force HTTPS" stopProcessing="true">
<match url="(.)" />
<conditions>
<add input="{HTTPS}" pattern="off" />
</conditions>
<action type="Redirect" url="https://{HTTP_HOST}/{R:1}"
redirectType="Permanent" />
</rule>
</rules>
</rewrite>
</system.webServer>
保存后重启站点,用浏览器开发者工具的Network面板确认返回的是 301 状态码，而不是302临时跳转，这对搜索引擎收录更友好。
IIS SSL配置常见报错怎么排查
证书选不到或显示灰色
按优先级检查：证书是否在“本地计算机→个人”里；pfx导入时是否带私钥（证书图标上有一把小钥匙）；IIS是否以管理员身份运行，三者缺一，下拉框就是空的。
访问HTTPS提示证书无效
常见于三类原因：证书域名与访问域名不一致（www 和不带 www 算两个）；证书已过期；系统时间偏差过大，用浏览器点开锁形图标看“证书信息”，有效期和颁发对象一目了然。
绑定后站点返回503或无法启动
多半是443端口被占用,命令行执行 netstat -ano | findstr :443，找到占用进程PID，再到任务管理器核对，IIS自身、Skype旧版本、部分远程管理工具都可能占着443。
单域名、通配符、多域名证书怎么选
这是配置前就该定的事,选错了后面返工成本高，行业共识认为，证书类型应跟着域名结构走，而不是反过来。
| 证书类型 | 适用场景 | 覆盖范围 | 价格区间参考 |
|---|---|---|---|
| 单域名证书 | 只有一个主站域名 | 1个具体域名 | 较低，百元级起 |
| 通配符证书 | 主域下大量子域 | .example.com 全部子域 |
中等，千元级 |
| 多域名证书 | 多个不相关域名 | 可扩展绑定多个域名 | 按域名数递增 |
如果站点只有 www 和裸域两个入口，单域名证书加一条301跳转就够用；若是SaaS平台给每个客户开子域，通配符更省事，预算有限又域名多，也可以考虑多域名证书按需扩容。
不同部署场景下的配置差异
本地开发环境与生产环境的差异
开发机自签证书即可,用PowerShell一条命令生成：
New-SelfSignedCertificate -DnsName "localhost" -CertStoreLocation "cert:LocalMachineMy"
生产环境必须用CA签发的证书,且建议开启TLS 1.2以上、关闭SSL 3.0和TLS 1.0，可在“注册表”或IIS Crypto工具中调整，改完重启生效。
云服务器上的IIS SSL配置注意事项
云主机通常有安全组,443端口要在控制台放行，否则本机绑定成功、外网照样打不开，另外部分云厂商提供免费证书申请入口，下载后同样是pfx格式，导入流程一致，备案与域名解析这块不展开，但记得解析记录的TTL调小一点，方便切换时快速生效。
配置完成后的验证清单
- 浏览器地址栏出现锁形图标,点开显示“连接是安全的”
- 访问
http://版本能自动跳到https://，且为301 - 用在线SSL检测工具查看证书链是否完整、协议版本是否合格
- 站内图片、脚本、样式等资源全部走HTTPS，避免混合内容警告
- 证书到期前设置提醒,或配置自动续期脚本
近年来的行业实践显示,证书过期是HTTPS站点掉线的高频原因，设置日历提醒是最低成本的保险。
关于IIS SSL配置的常见疑问
IIS SSL配置证书导入后绑定列表里没有怎么办
先确认导入位置是“本地计算机→个人”而非当前用户；再检查pfx是否包含私钥，无钥匙图标的证书不可用于绑定；最后确认IIS管理器以管理员权限启动，三步逐一排除，基本都能解决。
IIS SSL配置后网站打不开是什么原因
优先查443端口占用和防火墙放行情况,其次看绑定中的主机名是否与访问域名严格一致，SNI未勾选而同一IP绑定了多个HTTPS站点时，也会出现握手失败。
IIS SSL配置用免费证书和付费证书有区别吗
技术上两者都能完成加密,差异在信任链覆盖、有效期长短和售后支持，免费证书有效期普遍较短，需要更频繁地续期；付费证书通常提供更长的有效期与商业保障，对访客而言，浏览器地址栏的锁形标识并无区别。