SSL證書(shū)百科

常見(jiàn)問(wèn)題

• 問(wèn)：SSL證書(shū)怎么用，如何快速上手？

  答：1.購(gòu)買(mǎi)SSL證書(shū)實(shí)例：提交證書(shū)申請(qǐng).證書(shū)簽發(fā)后下載證書(shū)等。2.使用已購(gòu)買(mǎi)的SSL證書(shū)實(shí)例，向CA中心提交證書(shū)申請(qǐng)：CA中心是頒發(fā)SSL證書(shū)的機(jī)構(gòu)。您可以通過(guò)購(gòu)買(mǎi)的SSL證書(shū)實(shí)例向CA中心提交證書(shū)申請(qǐng)。只有當(dāng)CA中心通過(guò)您的證書(shū)申請(qǐng)時(shí)，SSL證書(shū)才會(huì)簽發(fā)給您。3.將已簽發(fā)的SSL證書(shū)安裝到您的Web服務(wù)器或部署到阿里云產(chǎn)品：SSL只有正確安裝到Web服務(wù)器，才能實(shí)現(xiàn)客戶端與服務(wù)器之間的HTTPS通信。由于不同類(lèi)型的Web服務(wù)器的配置，您需要在證書(shū)簽發(fā)后根據(jù)實(shí)際服務(wù)器環(huán)境安裝證書(shū)。我們?yōu)槟峁┝嗽谄胀╓eb服務(wù)器上安裝SSL證書(shū)的指導(dǎo)，供您參考。一些阿里巴巴云產(chǎn)品支持部署證書(shū)，即通過(guò)SSL證書(shū)服務(wù)將簽發(fā)的證書(shū)一鍵安裝在云產(chǎn)品上。不同的云產(chǎn)品可能需要部署SSL證書(shū)，以實(shí)現(xiàn)不同的功能目的。證書(shū)部署到云產(chǎn)品并不意味著證書(shū)不需要安裝到服務(wù)器上，具體以云產(chǎn)品的使用說(shuō)明為準(zhǔn)。4.證書(shū)即將過(guò)期時(shí)，為證書(shū)續(xù)費(fèi)，用新簽發(fā)的證書(shū)代替舊證書(shū)：CA中心頒發(fā)的SSL證書(shū)默認(rèn)有效期為一年。證書(shū)過(guò)期后，將不受瀏覽器的信任，影響客戶通過(guò)HTTPS協(xié)議訪問(wèn)您的業(yè)務(wù)。您可以在證書(shū)到期前30個(gè)自然日內(nèi)自動(dòng)更新證書(shū)手續(xù)費(fèi)，或提前打開(kāi)證書(shū)托管服務(wù)，SSL證書(shū)服務(wù)將自動(dòng)更新證書(shū)。續(xù)簽證書(shū)意味著重新購(gòu)買(mǎi)并申請(qǐng)與舊證書(shū)規(guī)格相同的SSL證書(shū)。續(xù)簽證書(shū)后，您還必須將續(xù)簽的新證書(shū)重新安裝到您的網(wǎng)絡(luò)服務(wù)器（或部署到阿里云產(chǎn)品），以更換即將到期的舊證書(shū)。5.不再需要使用證書(shū)時(shí)，向CA中心提交吊銷(xiāo)證書(shū)申請(qǐng):如果不再需要使用仍然有效的SSL證書(shū)，出于安全考慮(如避免盜用證書(shū))，建議您通過(guò)SSL證書(shū)服務(wù)向CA中心提交吊銷(xiāo)證書(shū)申請(qǐng)。吊銷(xiāo)證書(shū)意味著從頒發(fā)證書(shū)的CA中心注銷(xiāo)證書(shū)信息。取消的證書(shū)將無(wú)效。

• 問(wèn)：如何進(jìn)場(chǎng)SSL證書(shū)格式轉(zhuǎn)換？

  答：不同的Web服務(wù)器支持不同的證書(shū)格式。您需要將簽發(fā)的證書(shū)轉(zhuǎn)換為適用于當(dāng)前Web服務(wù)器的格式，以便正常安裝SSL證書(shū)。本文介紹了如何轉(zhuǎn)換證書(shū)格式。您可以參考以下方法實(shí)現(xiàn)證書(shū)格式之間的轉(zhuǎn)換：將JKS格式證書(shū)轉(zhuǎn)換為PFX格式您可以使用JDK自帶的Keytool工具，將JKS格式證書(shū)文件轉(zhuǎn)換為PFX格式。例如，您可以執(zhí)行以下命令，并將其轉(zhuǎn)換為PFX格式。cert_name.jks證書(shū)文件轉(zhuǎn)換為cert_name.pfx證書(shū)文件。keytool-importkeystore-srckeystoreD:\.jks-destkeystoreD:\.pfx-srcstoretypeJKS-deststoretypePKCS12(本文證書(shū)名稱(chēng)為cert_name例如：證書(shū)文件名稱(chēng)為例cert_name.pem，證書(shū)密鑰文件名稱(chēng)為cert_name.key。在實(shí)際使用過(guò)程中，您需要cert_name更換為您的證書(shū)名稱(chēng)。)（Keytool該工具是JDK中自帶的密鑰管理工具，可以制作出來(lái)Keystore（jks）您可以從官方地址下載JDK工具包獲取格式證書(shū)文件。JDK\jre\bin\security\目錄下。）將PFX格式證書(shū)轉(zhuǎn)換為JKS格式您可以使用JDK自帶的Keytool工具，將PFX格式證書(shū)文件轉(zhuǎn)換為JKS格式。例如，您可以執(zhí)行以下命令，并將其轉(zhuǎn)換為JKS格式。cert_name.pfx證書(shū)文件轉(zhuǎn)換為cert_name.jks證書(shū)文件。keytool-importkeystore-srckeystoreD:\.pfx-destkeystoreD:\.jks-srcstoretypePKCS12-deststoretypeJKS將PEM，KEY或CRT格式證書(shū)轉(zhuǎn)換為PFX格式證書(shū)您可以使用OpenSSL工具，將KEY格式密鑰文件，PEM或CRT格式公鑰文件轉(zhuǎn)換為PFX格式證書(shū)文件。例如，將您的KEY格式密鑰文件轉(zhuǎn)換為PFX格式證書(shū)文件。cert_name.keyPEM格式公鑰文件cert_name.pem復(fù)制到OpenSSL工具安裝目錄，使用OpenSSL工具執(zhí)行以下命令，將證書(shū)轉(zhuǎn)換為OpenSSL工具安裝目錄cert_name.jks證書(shū)文件。opensslpkcs12-export-out.pfx-inkey.key-in.pem將PFX格式證書(shū)轉(zhuǎn)換為PFX格式證書(shū)PEM，KEY或CRT格式您可以使用OpenSSL工具將PFX格式證書(shū)文件轉(zhuǎn)換為KEY格式密鑰文件，PEM或CRT格式公鑰文件。例如，您的PFX格式證書(shū)文件cert_name.pfx復(fù)制到OpenSSL安裝目錄，使用OpenSSL工具執(zhí)行以下命令，將證書(shū)轉(zhuǎn)換為OpenSSL安裝目錄cert_name.pem證書(shū)文件和KEY格式密鑰文件cert_name.key。執(zhí)行opensslpkcs12-in.pfx-nokeys-out.pem。執(zhí)行opensslpkcs12-in.pfx-nocerts-out.key-nodes。將CER格式證書(shū)轉(zhuǎn)化為PEM格式您可以使用OpenSSL工具將CER格式證書(shū)文件轉(zhuǎn)換為PEM格式證書(shū)。例如，將您的CER格式證書(shū)文件cert_name.cer復(fù)制到OpenSSL安裝目錄，使用OpenSSL工具執(zhí)行以下命令，將證書(shū)轉(zhuǎn)換為OpenSSL安裝目錄cert_name.pem證書(shū)文件。opensslx509-in.cer-out.pem-outformPEM將PEM格式證書(shū)轉(zhuǎn)化為CER格式您可以使用OpenSSL工具將PEM格式證書(shū)文件轉(zhuǎn)換為CER格式證書(shū)文件。例如，將您的PEM格式證書(shū)文件cert_name.pem復(fù)制到OpenSSL安裝目錄，使用OpenSSL工具執(zhí)行以下命令，將證書(shū)轉(zhuǎn)換為OpenSSL安裝目錄cert_name.cer證書(shū)文件。opensslx509-in.pem-out.cer-outformDER

• 問(wèn)：SSL證書(shū)錯(cuò)誤原因及解決方法？

  答：1、站點(diǎn)證書(shū)不是由信任證書(shū)頒發(fā)機(jī)構(gòu)頒發(fā)的。“SSL證書(shū)錯(cuò)誤”的另一種情況是，證書(shū)不在瀏覽器制造商信任的列表中。您可以通過(guò)手動(dòng)添加證書(shū)來(lái)安裝瀏覽器“信任列表”。信任根證書(shū)需要嵌入流行的瀏覽器，例如IE。、Firefox、Chrome、如果瀏覽器沒(méi)有遇到Apple等簽名證書(shū)中的一個(gè)，說(shuō)明它不受信任，訪問(wèn)者會(huì)看到網(wǎng)頁(yè)證書(shū)錯(cuò)誤的消息。推薦使用權(quán)威CA機(jī)構(gòu)頒發(fā)的SSL證書(shū)。2、證書(shū)名稱(chēng)“不匹配”當(dāng)服務(wù)器提供的SSL證書(shū)上列出的域名與瀏覽器連接的域名不匹配時(shí)，就會(huì)出現(xiàn)“證書(shū)名稱(chēng)不匹配”，導(dǎo)致網(wǎng)頁(yè)證書(shū)錯(cuò)誤。為了開(kāi)始HTTPS連接，證書(shū)上的域名必須與瀏覽器地址欄中的域名完全匹配。建議在安裝和部署SSL證書(shū)時(shí)正確填寫(xiě)域名。此外，瀏覽網(wǎng)頁(yè)時(shí)，檢查輸入地址是否正確。3、SSL證書(shū)已過(guò)期或尚未生效。當(dāng)出現(xiàn)“SSL證書(shū)錯(cuò)誤”時(shí)，首先要確認(rèn)證書(shū)是否有效，或者計(jì)算機(jī)系統(tǒng)的日期是否錯(cuò)誤。你可以通過(guò)查看這個(gè)證書(shū)的有效起止日期，以確定證書(shū)是否在有效期內(nèi)。如果是，你需要檢查計(jì)算機(jī)日期是否正確。如果沒(méi)有有效期，需要盡快聯(lián)系證書(shū)頒發(fā)CA，以便續(xù)費(fèi)。4、服務(wù)器啟用SNI所致。這種情況更多的是設(shè)備之間的內(nèi)部問(wèn)題，但是有時(shí)候客戶端和服務(wù)器名稱(chēng)指示服務(wù)器之間的通信可能是SSL/TLS協(xié)會(huì)討論錯(cuò)誤的原因。你需要做的第一件事就是確定有問(wèn)題的服務(wù)器的主機(jī)名稱(chēng)和端口號(hào)，并確保它已經(jīng)啟用了SNI并正在傳達(dá)它所有需要的內(nèi)容。以上是SSL證書(shū)錯(cuò)誤最常見(jiàn)的四種類(lèi)型。如果沒(méi)有解決或者其他原因，可以聯(lián)系安信SSL證書(shū)在線客服，為您提供一對(duì)一技術(shù)指導(dǎo)服務(wù)。

熱門(mén)SSL證書(shū)產(chǎn)品推薦

證書(shū)等級(jí)	DV（域名級(jí)）SSL證書(shū)	OV（企業(yè)級(jí)）SSL證書(shū)
適用場(chǎng)景	個(gè)人網(wǎng)站、企業(yè)測(cè)試	中小企業(yè)的網(wǎng)站、App、小程序等
驗(yàn)證級(jí)別	驗(yàn)證域名所有權(quán)	驗(yàn)證企業(yè)/組織真實(shí)性和域名所有權(quán)
HTTPS數(shù)據(jù)加密
瀏覽器掛鎖
搜索排名提升
單域名證書(shū)	¥ 150 /年   ¥ 400 /3年 立即購(gòu)買(mǎi)	¥ 720 /年   ¥ 2000 /3年 立即購(gòu)買(mǎi)
通配符證書(shū)	¥ 550 /年   ¥ 1500 /3年 立即購(gòu)買(mǎi)	¥ 1500 /年   ¥ 4200 /3年 立即購(gòu)買(mǎi)