微信小程序怎么申请HTTPS证书

微信官方明确规定，小程序所有网络请求必须通过HTTPS协议传输，服务器需配置由受信任CA机构签发的有效HTTPS证书。自签名证书或未受信任CA签发的证书会被平台直接拒绝，未添加HTTPS的域名将被微信直接拒之门外。对于正在开发微信小程序的团队来说，申请HTTPS证书是上线前绕不过去的必修课。

一、微信小程序对HTTPS证书的硬性要求

在动手申请HTTPS证书之前，先确认服务器环境是否满足以下条件，否则证书签发了也无法通过微信校验：

TLS版本≥1.2。服务器必须支持TLS 1.2及以上版本，TLS 1.0和1.1已被微信客户端直接拒绝。

证书链必须完整。服务器需要提供包含中间证书的完整证书链，只部署叶子证书会导致iOS端出现“安全连接失败”。

禁止自签名证书。生产环境中的小程序严禁使用自签名证书，必须使用受信任CA机构颁发的证书。

域名完成ICP备案。服务器部署在中国大陆的域名必须拥有有效的ICP备案记录，这是微信域名校验的前置条件。

证书域名与后台配置一致。证书绑定的域名必须与小程序后台填写的“request合法域名”完全一致，www和根域名不能混用。

二、申请HTTPS证书前：证书类型怎么选

不同规模的小程序项目适合的证书类型不同。安信证书平台提供DV、OV、EV三个验证等级，以及单域名、通配符、多域名三种覆盖方式，开发者可以根据实际需求灵活组合。

安信证书旗下自有国产SSL证书品牌“速安信（AnTrust）”基于国际CA技术架构打造，在加密强度和浏览器兼容性上完全对标国际品牌，价格却比同级国际产品低30%-50%。对于绝大多数微信小程序项目，158元/年的DV单域名证书已经够用，既能满足微信官方的强制要求，也能以低成本实现数据加密传输。

如果预算允许且需要更高信任等级，安信证书也提供DigiCert、GeoTrust、Sectigo等国际品牌的证书产品，满足不同层次的需求。

三、通过安信证书申请HTTPS证书的完整步骤

第一步：注册并选择证书

访问安信证书官网注册账号，在产品列表中选择合适的证书类型。选型时重点关注两个方面：验证等级（DV适合个人，OV适合企业）和域名覆盖范围（单域名、通配符还是多域名）。

第二步：生成CSR文件

CSR（证书签名请求）文件包含域名、组织信息和公钥。安信证书官网提供在线CSR生成工具，输入域名即可自动生成，无需手动操作OpenSSL命令。

第三步：完成域名所有权验证

DV证书仅需验证域名所有权。安信证书支持DNS验证、文件验证和邮箱验证三种方式，其中DNS验证最为推荐——在域名DNS管理后台添加一条TXT记录即可，无需触碰服务器配置。

第四步：签发与下载

验证通过后，DV证书最快10分钟内完成签发。下载证书文件包后，你会获得证书文件（.pem或.crt）和私钥文件（.key），以及包含中间证书的完整链文件。

第五步：部署到服务器

以Nginx为例，核心配置如下：

text

server{

listen 443 ssl;

server_name api.example.com;

ssl_certificate/path/to/fullchain.pem;

ssl_certificate_key/path/to/privkey.pem;

ssl_protocols TLSv1.2 TLSv1.3;

}

ssl_certificate必须指向包含中间证书的完整链文件（fullchain.pem），不要只指向证书文件。如果对服务器配置不熟悉，安信证书提供免费安装部署服务，技术团队可协助完成证书配置、私钥匹配和证书链完整性检查。

第六步：微信小程序后台配置域名

登录微信公众平台，进入“开发”→“开发设置”→“服务器域名”，将HTTPS域名分别添加到request合法域名、socket合法域名、uploadFile合法域名和downloadFile合法域名四个列表中。域名必须以https://开头，不能使用IP地址或自定义端口。

四、常见问题（FAQ）

Q1：申请HTTPS证书后，微信开发者工具报“证书无效”怎么排查？

优先检查三个问题：一是证书链是否完整，用openssl命令确认服务器返回的证书数量是否≥2；二是TLS版本是否达到1.2及以上；三是域名是否已在微信后台添加到request合法域名列表。开发者工具中可以临时勾选“不校验合法域名”进行本地调试，但发布前必须取消勾选。

Q2：一个HTTPS证书能保护多个小程序域名吗？

取决于证书类型。单域名证书只保护一个具体域名；通配符证书（如*.example.com）可以保护同一主域名下的所有一级子域名；多域名证书可以在一张证书中列出多个不同的独立域名。如果小程序涉及多个子域名接口，选择通配符证书更经济高效。