多域名 SSL證書

不同的Web服務(wù)器支持不同的證書格式。您需要將簽發(fā)的證書轉(zhuǎn)換為適用于當前Web服務(wù)器的格式，以便正常安裝SSL證書。本文介紹了如何轉(zhuǎn)換證書格式。

您可以參考以下方法實現(xiàn)證書格式之間的轉(zhuǎn)換：

將JKS格式證書轉(zhuǎn)換為PFX格式

您可以使用JDK自帶的Keytool工具，將JKS格式證書文件轉(zhuǎn)換為PFX格式。例如，您可以執(zhí)行以下命令，并將其轉(zhuǎn)換為PFX格式。cert_name.jks證書文件轉(zhuǎn)換為cert_name.pfx證書文件。

keytool-importkeystore-srckeystoreD:\.jks-destkeystoreD:\.pfx

-srcstoretypeJKS-deststoretypePKCS12

(本文證書名稱為cert_name例如：證書文件名稱為例cert_name.pem，證書密鑰文件名稱為cert_name.key。在實際使用過程中，您需要cert_name更換為您的證書名稱。)

（Keytool該工具是JDK中自帶的密鑰管理工具，可以制作出來Keystore（jks）您可以從官方地址下載JDK工具包獲取格式證書文件。JDK\jre\bin\security\目錄下。）

將PFX格式證書轉(zhuǎn)換為JKS格式

您可以使用JDK自帶的Keytool工具，將PFX格式證書文件轉(zhuǎn)換為JKS格式。例如，您可以執(zhí)行以下命令，并將其轉(zhuǎn)換為JKS格式。cert_name.pfx證書文件轉(zhuǎn)換為cert_name.jks證書文件。

keytool-importkeystore-srckeystoreD:\.pfx-destkeystoreD:\.jks

-srcstoretypePKCS12-deststoretypeJKS

將PEM，KEY或CRT格式證書轉(zhuǎn)換為PFX格式證書

您可以使用OpenSSL工具，將KEY格式密鑰文件，PEM或CRT格式公鑰文件轉(zhuǎn)換為PFX格式證書文件。例如，將您的KEY格式密鑰文件轉(zhuǎn)換為PFX格式證書文件。cert_name.keyPEM格式公鑰文件cert_name.pem復(fù)制到OpenSSL工具安裝目錄，使用OpenSSL工具執(zhí)行以下命令，將證書轉(zhuǎn)換為OpenSSL工具安裝目錄cert_name.jks證書文件。

opensslpkcs12-export-out.pfx-inkey.key-in.pem

將PFX格式證書轉(zhuǎn)換為PFX格式證書PEM，KEY或CRT格式

您可以使用OpenSSL工具將PFX格式證書文件轉(zhuǎn)換為KEY格式密鑰文件，PEM或CRT格式公鑰文件。例如，您的PFX格式證書文件cert_name.pfx復(fù)制到OpenSSL安裝目錄，使用OpenSSL工具執(zhí)行以下命令，將證書轉(zhuǎn)換為OpenSSL安裝目錄cert_name.pem證書文件和KEY格式密鑰文件cert_name.key。

執(zhí)行opensslpkcs12-in.pfx-nokeys-out.pem。

執(zhí)行opensslpkcs12-in.pfx-nocerts-out.key-nodes。

將CER格式證書轉(zhuǎn)化為PEM格式

您可以使用OpenSSL工具將CER格式證書文件轉(zhuǎn)換為PEM格式證書。例如，將您的CER格式證書文件cert_name.cer復(fù)制到OpenSSL安裝目錄，使用OpenSSL工具執(zhí)行以下命令，將證書轉(zhuǎn)換為OpenSSL安裝目錄cert_name.pem證書文件。

opensslx509-in.cer-out.pem-outformPEM

將PEM格式證書轉(zhuǎn)化為CER格式

您可以使用OpenSSL工具將PEM格式證書文件轉(zhuǎn)換為CER格式證書文件。例如，將您的PEM格式證書文件cert_name.pem復(fù)制到OpenSSL安裝目錄，使用OpenSSL工具執(zhí)行以下命令，將證書轉(zhuǎn)換為OpenSSL安裝目錄cert_name.cer證書文件。

opensslx509-in.pem-out.cer-outformDER

SSL證書是及時的，而不是永久的。他必須受到嚴格的保護。因此，SSL證書必須每年更新私鑰和公鑰，以提高SSL證書的安全性。此外，CA機構(gòu)每年都會驗證主體身份是否有效，因為CA機構(gòu)不能保證申請人始終處于合法狀態(tài)，當前互聯(lián)網(wǎng)時代的域名交易也非常復(fù)雜，很容易導(dǎo)致域名所有權(quán)或企業(yè)業(yè)務(wù)變更的動態(tài)。因此，CA/B論壇聯(lián)盟所有CA機構(gòu)投票同意SSL證書一年為基準的時效性。SSL證書最長使用不能超過13個月，一旦超出瀏覽器將提示危險。

那么，SSL證書過期了怎么辦？

首先，SSL證書需要重新簽發(fā)、審核和部署。SSL證書必須提前更新，因為SSL證書到期網(wǎng)站將立即停止訪問，彈出不安全提示“網(wǎng)站不信任”，將減少網(wǎng)站信任和用戶體驗，如果強制訪問將存在數(shù)據(jù)泄露的風險。

一般來說，在SSL證書到期前1-3個月左右，都是可以重新購買的。其中EV證書的申請比較麻煩，需要提前申請，以免證書到期后無法及時簽續(xù)；DV證書和OV證書的審核時間不是很長。OV證書提前半個月就夠了，DV證書可以在一周內(nèi)申請。用戶需要重新填寫申請信息，系統(tǒng)會自動拉取原始證書申請信息，然后確定支付流程。

最后，打開更新程序窗口，直接彈出SSL證書更新提醒，確定信息，點擊更新頁面。購買成功后，SSL管理控制臺的證書列表將生成一個新的證書狀態(tài)進行驗證，點擊查看詳細信息頁面，點擊下載。當審核通過時，您將獲得一個新的SSL數(shù)字證書，您需要在您的服務(wù)器上安裝一個新的SSL數(shù)字證書來替換即將到期的證書。如有不清楚的地方，也可以聯(lián)系服務(wù)提供商網(wǎng)站的客戶服務(wù)，他們會詳細回答證書過期的處理方法。

1、站點證書不是由信任證書頒發(fā)機構(gòu)頒發(fā)的。

“SSL證書錯誤”的另一種情況是，證書不在瀏覽器制造商信任的列表中。您可以通過手動添加證書來安裝瀏覽器“信任列表”。信任根證書需要嵌入流行的瀏覽器，例如IE。、Firefox、Chrome、如果瀏覽器沒有遇到Apple等簽名證書中的一個，說明它不受信任，訪問者會看到網(wǎng)頁證書錯誤的消息。推薦使用權(quán)威CA機構(gòu)頒發(fā)的SSL證書。

2、證書名稱“不匹配”

當服務(wù)器提供的SSL證書上列出的域名與瀏覽器連接的域名不匹配時，就會出現(xiàn)“證書名稱不匹配”，導(dǎo)致網(wǎng)頁證書錯誤。

為了開始HTTPS連接，證書上的域名必須與瀏覽器地址欄中的域名完全匹配。建議在安裝和部署SSL證書時正確填寫域名。

此外，瀏覽網(wǎng)頁時，檢查輸入地址是否正確。

3、SSL證書已過期或尚未生效。

當出現(xiàn)“SSL證書錯誤”時，首先要確認證書是否有效，或者計算機系統(tǒng)的日期是否錯誤。你可以通過查看這個證書的有效起止日期，以確定證書是否在有效期內(nèi)。如果是，你需要檢查計算機日期是否正確。

如果沒有有效期，需要盡快聯(lián)系證書頒發(fā)CA，以便續(xù)費。

4、服務(wù)器啟用SNI所致。

這種情況更多的是設(shè)備之間的內(nèi)部問題，但是有時候客戶端和服務(wù)器名稱指示服務(wù)器之間的通信可能是SSL/TLS協(xié)會討論錯誤的原因。你需要做的第一件事就是確定有問題的服務(wù)器的主機名稱和端口號，并確保它已經(jīng)啟用了SNI并正在傳達它所有需要的內(nèi)容。

以上是SSL證書錯誤最常見的四種類型。如果沒有解決或者其他原因，可以聯(lián)系安信SSL證書在線客服，為您提供一對一技術(shù)指導(dǎo)服務(wù)。