公司准备给官网申请SSL证书，联系服务商后，收到了一份资料清单。域名、公司名称和联系人都容易理解，看到“服务器账号”“网站后台密码”时，负责人难免会犹豫：只是买一张证书，为什么需要开放这些权限？
单独申请SSL证书，需要提交相应的申请资料并完成验证，服务器登录密码和网站源码不属于常规申请材料。如果同时委托服务商安装证书，就要根据安装位置和服务方式，确定对方需要哪些操作权限。
分清申请和安装这两件事，企业就能判断资料清单是否合理，也能选择适合自己的配合方式。
一、申请SSL证书，实际需要提供什么？
首先需要确定证书保护哪些域名。企业官网、业务后台和文件服务可能使用不同名称，申请时应提交本次需要保护的域名，服务商据此确认产品的覆盖范围。
接下来是申请人资料。DV证书主要验证申请人对域名的控制权；OV、EV证书还涉及组织身份审核，需要按照相应产品的要求提供企业和联系人信息。营业执照、登记信息和回访电话，是为核实申请企业准备的资料。
证书颁发机构审核的是域名控制权，以及所选产品要求核实的身份信息。服务器上存了多少网页、程序采用什么语言、数据库里有多少客户，属于另一类信息。办理常规SSL证书申请，无须把这些业务内容打包提交。
因此，服务商询问网站使用哪种服务器软件，可能是在提前了解安装环境；要求填写公司电话，则可能与身份审核有关。资料用途说清楚之后，企业就容易知道哪些是申请所需，哪些属于另行约定的技术服务。
如果清单里出现服务器密码，可以直接问明白：这项资料用于证书审核，还是用于代安装？选择自行安装的企业，通常可以由自己的技术人员完成后续操作。
二、CSR、私钥和网站源码，分别是什么？
申请过程中，技术人员可能需要生成CSR，也就是证书签名请求。它包含公钥及相关申请信息，用于向颁发机构申请证书。DigiCert的官方说明将CSR介绍为提交公钥、公司和域名信息的一种标准化文件。
生成CSR时，还会涉及与公钥配对的私钥。私钥是服务器使用相应证书时需要保护的秘密凭据，企业应明确哪些人员和系统可以生成、保存及使用它。
这两类文件用途不同。采用企业自行生成密钥的方式时，可以把CSR提交给服务商办理申请，私钥继续由企业保管。颁发机构根据申请和验证结果签发证书，无须取得企业用于登录服务器的密码。
网站源码则是构成网站程序的代码，可能包含业务逻辑、接口配置等内容。它既不是CSR，也不是SSL私钥。证书申请所需的加密信息，可以通过专门的工具生成，无须从整套网站源码中提取。
例如，企业的技术人员在自己管理的服务器上生成密钥和CSR，将CSR交给服务商。证书签发后，技术人员取回证书，与原先保管的私钥配合安装。这个过程中，企业可以始终自行管理服务器登录和网站程序。
选择由平台生成并管理密钥的产品时，私钥的保管方式则取决于该平台的服务设计。采购人员应了解谁能访问密钥、能否导出，以及将来迁移或终止服务时怎样处理，再决定采用哪种方式。
三、完成域名验证，要把域名账号交出去吗？
域名验证是为了证明申请人有权控制相应域名。常见做法包括添加指定的DNS记录，或者把验证文件放到指定的网站目录。具体采用哪一种，按证书产品支持的方式执行。
采用DNS验证时，企业可以让自己的域名管理人员添加记录，再由颁发机构查询验证结果。服务商提供记录内容和填写说明，企业负责实际添加，就能完成双方配合，无须把整个域名账号的登录信息交给对方。
采用文件验证时，负责维护网站的人员可以按要求上传验证文件。这里要处理的是一份指定文件及其访问位置，不需要把整站源码交给证书销售人员。
如果企业希望服务商代做验证，可以使用平台实际支持的委派或授权方式，并了解授权涉及哪些域名和操作。用于单次验证的配合，与长期自动续签所需的授权，服务范围并不相同。
域名管理账号可能还控制网站解析、企业邮箱等业务。只为完成一次证书验证，适合优先采用由企业管理员操作、服务商提供指导的方式。这样既能推进申请，也便于企业保留现有管理习惯。
四、委托安装证书，为什么还会涉及登录权限？
证书签发后，要配置到实际提供HTTPS服务的位置，网站才能使用它。这里的HTTPS，可以理解为浏览器与网站之间采用加密保护的连接方式。
安装位置与网站架构有关。网站直接由自有服务器提供HTTPS时，在服务器上配置证书；通过云端负载均衡或内容分发服务提供HTTPS时，则可能需要在相应云服务中配置。
以直接使用Nginx服务器的环境为例，官方文档要求配置证书与对应的私钥。负责安装的人需要能够完成这些设置；如果由企业技术人员安装，服务商可以提供证书文件和操作指导。
如果企业把自行购买的证书导入云平台，平台也可能要求上传证书和对应私钥。AWS的证书导入说明就列出了相关要求。这是把证书部署到指定服务的需要，应通过企业确认的管理平台完成。
代安装涉及的权限，要围绕实际工作判断。如果云平台支持单独授予证书管理权限，就使用相应角色；需要修改服务器配置时，由管理员完成，或明确授权技术服务人员操作。
网站后台的内容发布账号、数据库账号与证书安装可能属于不同系统。服务商确实需要额外排查时，应说明正在处理什么问题、为什么需要该项权限，让企业能够据此决定授权范围。
有些服务还包括网站的HTTPS改造，例如调整页面里写死的HTTP资源地址。这项工作可能涉及程序配置或网页模板，应由维护网站的人处理。需要修改哪些内容、由谁修改，可以列入安装服务说明，企业据此提供必要的操作条件。
五、公司没有技术人员，可以怎样配合安装？
没有专职技术人员的企业，可以先联系原来的网站建设方或服务器维护方。他们熟悉现有环境，由他们生成CSR、保管私钥并安装新证书，通常更容易与原有维护工作衔接。
使用托管建站系统的企业，可以先了解平台是否提供HTTPS、是否允许导入自购证书。网站由平台统一托管时，企业可能只有网站管理账号，证书设置也通过平台功能完成，应根据平台支持的方式办理。
另一种方式是采用远程指导。企业负责人或原维护人员自行登录管理平台，服务商说明要操作的位置，由企业一方完成设置。适合通过界面处理的环境，可以用这种方式减少账号密码在不同人员之间传递。
如果确实需要服务商代操作，可以先确认具体服务器、网站和工作内容。平台支持临时账号、角色授权或限定资源访问时，就采用这些已有功能，并约定使用时间和完成后的处理方式。
部分环境的证书配置需要较高权限，普通账号无法完成。此时应由管理员参与，或明确批准相应操作。
远程安装也应有企业一方确认服务时间，清楚对方正在处理哪个网站。遇到登录验证，由账号管理人完成本人应执行的验证步骤，再按所选服务方式继续操作。
企业如果购买的是单纯证书产品，也可以另外选择安装服务。费用和服务范围分别约定后，就能知道证书供应商负责到哪一步，原网站维护方又需要配合哪些工作。
六、安装完成后，企业应拿到哪些资料？
首先应当知道，本次证书用于哪些域名、装在什么系统里，以及什么时候需要更新。证书实际部署在云服务上时，记录相应服务名称，比只保留一句“网站已加密”更方便后续维护。
采用企业自管密钥的方案，还要确认私钥由谁保管、恢复副本放在哪里。以后迁移服务器或更换维护人员时，能否恢复原私钥取决于当时的生成和保存方式，因此需要留下明确的保管记录。
由服务商代为生成并交付密钥时，应采用双方确认的受控方式交接，让企业指定人员接收和保管。需要长期托管的，则把访问权限、更新服务和终止托管后的处理写进服务约定。
临时开放的安装权限，完成工作后按约定收回。企业可以保留本次操作和交付记录，确认后续维护人员能够找到证书配置，而不必再次向已经结束合作的安装人员索取账号信息。
验收时，可以让负责维护的人从网站实际访问结果中确认正在使用的新证书，并完成登录、表单等必要业务测试。发现异常时，把具体提示和所涉页面提供给技术人员，通常就能先开始判断，无须一开始发送整套程序和业务数据。
申请SSL证书时，企业可以自行提交资料、完成域名验证并保管私钥；需要安装协助时，再为具体工作提供相应权限。把服务范围、资料用途和保管方式说清楚，企业就能在保留必要管理权的同时，顺利完成申请与安装。
相关阅读：安装SSL证书的域名需要备案吗
