当前位置：首页 > 云服务器 > 正文

https证书签发失败怎么办？https证书申请流程

admin
云服务器
2026-07-10
7

HTTPS 证书签发是构建安全网络通信的核心环节，它通过公钥基础设施（PKI）体系，确保客户端与服务器之间数据传输的机密性、完整性和身份真实性，以下将详细解析证书签发的全流程、关键组件及最佳实践。

核心概念与工作原理

在深入流程之前,需明确几个关键角色：

CA (Certificate Authority)：证书授权中心，受信任的第三方机构，负责验证申请者身份并签发证书。
CSR (Certificate Signing Request)：证书签名请求，由服务器生成，包含公钥和身份信息。
SSL/TLS 证书：包含公钥、持有者信息、有效期、CA 数字签名等内容的电子文件。

基本流程简述：

服务器生成密钥对（私钥和公钥）。
服务器生成 CSR，将公钥和域名等信息打包。
CA 验证 CSR 中的身份信息和域名所有权。
CA 使用其私钥对 CSR 进行签名，生成最终证书。
服务器安装证书和 CA 的根证书/中间证书。

证书签发详细流程

生成密钥对与 CSR

服务器管理员首先需要在本地生成 RSA 或 ECC 密钥对，随后，使用 OpenSSL 等工具生成 CSR，CSR 中必须包含：

Common Name (CN)：通常为主域名（如 www.example.com）。
Subject Alternative Name (SAN)：现代证书标准，支持多个域名或子域名。
组织信息：公司名称、所在地等（DV 证书可能省略）。

# 示例：生成 RSA 2048 位密钥和 CSR openssl req -new -newkey rsa:2048 -nodes -keyout server.key -out server.csr

身份验证（Validation）

根据证书类型不同,验证严格程度各异：

证书类型		适用场景	签发速度
DV (Domain Validation)	仅验证申请者对域名的控制权（如通过 DNS 记录、HTTP 文件或邮箱验证）。	个人博客、测试环境、小型网站。	分钟级
OV (Organization Validation)	验证域名控制权 + 核实申请企业的法律实体存在性（如通过工商数据库、电话核实）。	企业官网、电商平台、SaaS 服务。	1-3 天
EV (Extended Validation)	最严格的验证，包括法律实体、运营状态、域名控制权，且需符合 CA/B Forum 严格指南。	银行、金融机构、高信任度品牌。	3-5 天

CA 签发证书

CA 收到 CSR 并通过验证后，会使用其中间证书私钥对证书进行签名，这一步至关重要，因为它建立了信任链：

根证书 (Root CA)：预装在操作系统和浏览器中，高度安全，极少直接使用。
中间证书 (Intermediate CA)：由根证书签发，用于日常业务签名，即使中间证书泄露，根证书仍可保持安全。
叶子证书 (End-entity Certificate)：最终颁发给用户的服务器证书。

证书安装与配置

签发完成后,CA 会提供证书文件（通常为 .crt 或 .pem），管理员需将其与私钥（.key）一起配置到 Web 服务器（如 Nginx, Apache, IIS）中。

Nginx 配置示例：

server { listen 443 ssl; server_name www.example.com; ssl_certificate /etc/ssl/certs/www.example.com.crt; # 证书文件 ssl_certificate_key /etc/ssl/private/www.example.com.key; # 私钥文件 ssl_trusted_certificate /etc/ssl/certs/chain.pem; # 中间证书链 }

自动化签发与管理：ACME 协议

随着 Let’s Encrypt 等免费 CA 的普及，手动签发已不再主流。ACME (Automatic Certificate Management Environment) 协议实现了证书的自动化申请、续期和吊销。

Let’s Encrypt 工作流程：

服务器安装 ACME 客户端（如 Certbot）。
Certbot 生成密钥对和 CSR。
Certbot 通过 HTTP-01 或 DNS-01 挑战证明域名所有权。
Let’s Encrypt CA 自动验证并签发证书。
Certbot 自动更新 Web 服务器配置并重启服务。
通过 Cron 或 systemd timer 定期自动续期（证书有效期通常为 90 天）。

常见错误与排查

错误现象	可能原因	解决方案
证书不受信任	缺少中间证书链，或 CA 根证书未预装。	下载完整的证书链文件（包含中间证书），并在服务器配置中指定 ssl_trusted_certificate。
域名不匹配	证书 CN/SAN 与实际访问域名不一致。	检查 CSR 中的 SAN 字段，重新申请包含正确域名的证书。
证书已过期	未设置自动续期，或手动安装后未更新。	使用 Certbot 等工具设置自动续期任务。
警告	HTTPS 页面中加载了 HTTP 资源（图片、脚本等）。	将所有资源链接改为 HTTPS 或使用相对协议。