PostgreSQL原生支持使用SSL连接来加密客户端/服务器通信以提高安全性。关于服务器端SSL功能的细节，见第 17.8 节。

libpq会读取系统范围的OpenSSL配置文件。默认情况下，该文件名为openssl.cnf，位于openssl version -d所报告的目录中。可以通过把环境变量OPENSSL_CONF设置为所需配置文件的名称来覆盖这个默认值。

为了验证服务器证书是可信的，把你信任的证书颁发机构（CA）的证书放在用户主目录的文件~/.postgresql/root.crt中。（在 Microsoft Windows 上该文件名为%APPDATA%\postgresql\root.crt。）这样libpq将验证服务器的证书是由一个受信任的证书颁发机构签名的。如果服务器没有出示一个受信任的证书，SSL 连接将失败。如果文件~/.postgresql/root.crl存在（在 Microsoft Windows 上为%APPDATA%\postgresql\root.crl），还会检查证书吊销列表（CRL）条目。

如果服务器要求一个可信的客户端证书，libpq将发送存储在用户主目录文件~/.postgresql/postgresql.crt中的证书。该证书必须由服务器信任的证书颁发机构（CA）之一签名。还必须存在一个配套的私钥文件~/.postgresql/postgresql.key，除非证书的私钥存储在硬件令牌中（由PGSSLKEY指定）。（在 Microsoft Windows 上这些文件名为%APPDATA%\postgresql\postgresql.crt和%APPDATA%\postgresql\postgresql.key。）私钥文件不能允许所有用户读取。

如果设置了环境变量PGSSLKEY，它的值应当由一个冒号分隔的引擎名和密钥标识符组成。在这种情况下，libpq将装载指定的引擎，即支持特殊硬件的OpenSSL模块，并引用具有指定标识符的密钥。标识符是引擎相关的。通常，密码学硬件令牌不会把私钥透露给应用；相反，应用把所有需要私钥的密码学操作都委托给硬件令牌完成。

如果你还在libpq之外在应用中使用SSL，可以使用PQinitSSL(int)告诉libpq，SSL库已经被你的应用初始化过。关于 SSL API 的细节见http://h71000.www7.hp.com/doc/83final/BA554_90007/ch04.html。