承接前文，CA 簽發憑證後，需完成憑證匯出、IIS 導入綁定、HTTPS 端口啟用、加密驗證全流程。本文記錄關鍵步驟與驗證方法。

步驟 1：從 CA 導出憑證文件

1. 打開 CA 管理主控台（certsrv.msc 或 MMC 加載「憑證授權單位」嵌入式管理單元）
2. 展開「已頒發的憑證」→ 找到目標憑證 → 雙擊打開屬性
3. 「詳細資訊」頁籤 → 「複製到文件」→ 憑證導出嚮導
4. 選擇「是，導出私鑰」（若需在 IIS 部署 PFX）或「否，不導出私鑰」（僅導出 .cer 公開鑰）
5. 格式選 PKCS #12 (.pfx) → 勾選「盡可能包含憑證路徑中的所有憑證」→ 設置強密碼保護私鑰
6. 導出路徑：C:\certs\iis-server.pfx（建議專用目錄，ACL 僅管理員可讀）

步驟 2：IIS 管理器完成憑證請求與綁定

1. 打開 inetmgr (IIS 管理器) → 伺服器節點 → 「伺服器憑證」圖標
2. 右側操作欄 → 「完成憑證請求」
3. 指定 .pfx/.cer 文件路徑、友好名稱（如 www.example.com-2024）、憑證存儲選「個人」
4. 確定 → 憑證出現在列表中

建立 HTTPS 綁定

1. 展開「網站」→ 目標站點右鍵 → 「編輯繫結」
2. 「新增」→ 類型選 https、IP 位址（預設所有未指派）、端口 443、SSL 憑證選擇剛導入的憑證
3. 勾選「需要伺服器名稱指示 (SNI)」（支援同 IP 多憑證）
4. 確定關閉

步驟 3：首次 HTTPS 訪問驗證

瀏覽器訪問 https://your-domain.com：

• 若憑證受信任（公信 CA 簽發或企業根憑證已部署至信任存儲）→ 無警告直接載入，地址欄顯示鎖圖標
• 若自簽/私有 CA → 瀏覽器彈出「安全性憂慮」對話框 → 點擊「繼續前往」（僅測試環境可接受，生產環境必須部署受信根憑證）

步驟 4：加密傳輸驗證—— IRIS/ Wireshark 抓包對比

明文 HTTP 抓包（IRIS/Fiddler/Wireshark）

GET /login.aspx HTTP/1.1
Host: www.example.com
Cookie: ASP.NET_SessionId=abc123; UserId=admin
Content-Type: application/x-www-form-urlencoded

username=admin&password=P@ssw0rd123&__VIEWSTATE=...

敏感信息全裸奔：帳號、密碼、ViewState、Cookie 明文可讀。

加密 HTTPS 抓包

TLSv1.2 Record Layer: Handshake Protocol: Client Hello
...
TLSv1.2 Record Layer: Application Data (Encrypted)
    Opaque Data: 7f 3a 9c 1e 4d 88 2b 6f ... (AES-256-GCM 加密負載)

全部應用層數據加密，僅可見 TLS 協議元數據（版本、密碼套件、證書鏈、SNI）。中間人無法竊聽/篡改業務數據。

性能與適用性權衡

• CPU 開銷：TLS 握手（非對稱加密）+ 對稱加密/解密，現代 CPU (AES-NI) 開銷 < 1%，高併發場景可卸載至負載均衡器/SSL 卸載卡
• 延遲增加：握手 1-RTT (TLS 1.2) / 0-RTT (TLS 1.3)，首次連接增加 ~10-50ms
• 適用原則：全站 HTTPS（HSTS）為現代標準。僅登入/支付/敏感 API 加密的時代已過——全鏈路加密防止降級攻擊、內容注入、會話劫持

生產環境檢查清單

1. 憑證有效期監控（提前 30/15/7 天告警自動續簽）
2. 啟用 HSTS：addHeader("Strict-Transport-Security", "max-age=31536000; includeSubDomains; preload")
3. 禁用 TLS 1.0/1.1，僅啟用 TLS 1.2/1.3
4. 配置強密碼套件優先順序：TLS_AES_256_GCM_SHA384、TLS_CHACHA20_POLY1305_SHA256、ECDHE_ECDSA_AES_256_GCM_SHA384...
5. 部署 OCSP Stapling 減少客戶端驗證延遲
6. 定期 SSL Labs 測試（ssllabs.com/ssltest）目標 A+ 等級

SSL/TLS 不是裝飾品，是數據機密性、完整性、身份認證的基石。從憑證申請到部署驗證，每一步都關係到信任鏈的完整性。做對了，用戶數據才真正安全。