開發人員遷移至 HTTPS 時遇到的兩大困難，分別是概念和術語。本指南將概略介紹這兩項服務。
摘要
- 使用公開/私密金鑰，在瀏覽器與伺服器之間簽署及解密訊息。
- 憑證授權單位 (CA) 是建立公開金鑰和公開 DNS 名稱 (例如「www.foobar.com」) 之間的對應關係。
- 憑證簽署要求 (CSR) 是一種資料格式，可與擁有金鑰的實體相關的某些中繼資料
什麼是公開和私密金鑰組？
「公開/私密金鑰組」是一對非常大的數字，用做加密和解密金鑰，並共用特殊的數學關係。金鑰組的常見系統是 RSA 加密系統。公開金鑰可用來加密訊息，且訊息只能以對應的私密金鑰解密。您的網路伺服器會向全世界通告其公開金鑰，而用戶端 (例如網路瀏覽器) 會使用該金鑰啟動安全頻道至您的伺服器。
什麼是憑證授權單位？
「憑證授權單位 (CA)」是一種機構，難以對應公開金鑰和公開 DNS 名稱 (例如「www.foobar.com」)。例如，用戶端如何得知特定公開金鑰是否為 www.foobar.com 的 true 公開金鑰？是一件事情，根本無法知道。CA 會使用特定金鑰的私密金鑰，對網站的公開金鑰以加密方式簽署，藉此強制特定金鑰成為特定網站的真實金鑰。這個簽章的運算作業無法偽造。瀏覽器 (和其他用戶端) 會維護「信任錨點存放區」，其中包含知名 CA 擁有的公開金鑰，並使用這些公開金鑰對 CA 的簽名以加密方式驗證。
X.509 憑證是一種資料格式，可與擁有金鑰的實體相關的部分中繼資料結合在一起。以網路來說，金鑰的擁有者是網站運算子，而重要的中繼資料是網路伺服器的 DNS 名稱。當用戶端連線到 HTTPS 網路伺服器時，網路伺服器會提供憑證，供用戶端驗證。用戶端會驗證憑證是否已過期、是否與用戶端嘗試連線的伺服器名稱相符，以及已知的信任錨點 CA 是否已簽署憑證。在大多數情況下，CA 不會直接簽署網路伺服器憑證；通常會透過「憑證鏈結」，將信任錨點連結至中繼簽署者或簽署者，最後再連結至網路伺服器自己的憑證 (「終端實體」)。
什麼是憑證簽署要求？
憑證簽署要求 (CSR) 是一種資料格式，與憑證一樣，會將公開金鑰與擁有金鑰的實體相關的部分中繼資料組合在一起。然而，用戶端不會解讀 CSR，CA 會。當您尋求網路伺服器公開金鑰的 CA 保證時，就能將 CA 傳送 CSR。CA 會驗證 CSR 中的資訊，並使用該資訊產生憑證。CA 隨後會將最終憑證傳送給您，然後在您的網路伺服器上安裝該憑證 (或者較可能使用憑證鏈結) 和私密金鑰。