更换ssl证书

常见问题

Q:

申请SSL证书时关于域名都有什么注意事项？

本文主要用于介绍申请SSL证书时有关域名的注意事项。

（1）使用哪个域名申请

以demo.ihuyi.com网站为例，您在维护网站安全时通常会出现以下两种情况：

1、用户登录页面为http://demo.ihuyi.com/login.asp，此时，您需要申请SSL数字证书，以确保用户输入的用户名、密码的安全。

2、用户登录信息管理页面http:/demo.ihuyi.com/oa/manage.asp，您需要使用SSL数字证书，以确保内部管理系统的信息安全。

在上述两种情况下，需要使用demo.ihuyi.com申请SSL数字证书作为域名，从而实现相关页面的安全保护。

（2）如何优化网站安全

如果您的网站访问量较大，建议为使用SSL数字证书的网站页面配置独立的Web服务器，即HTTPServer。同时，使用独立域名申请SSL证书，例如，learn.ihuyi.com或guide.ihuyi.com。

（3）填写域名的一致性

在访问https://demo.ihuyi.com网站时，网站域名必须与申请SSL数字证书的域名一致，否则浏览器可能会出现“安全证书上的名称无效或与网站名称不匹配”的提示。

Q:

如何创建SSL证书？

1：先下载安装Java

2：安装完毕后，根据实际路径找到keytool.exe，如我在这里的路径：C:\ProgramFiles(x86)\Java\jdk1.8.0_101\bin\keytool.exe

3：生成keystore。打开命令行。（cmd)，去keytool所在的路径，运行keytool-genkey-aliastomcat-stopePKCS12-keyalgRSA-2048年-keystored:\mykeystore\keystore.validity365-extsan=ip:192.168.100.132-dname"CN=garyyan,OU=mycompany,O=mycompany,L=gd,ST=gd,C=china“此命令中间只需输入密码即可生成keystore，假设密码为：123456

其中：

1)keystore可以理解为一个数据库，可以存储多组数据。每组数据主要包括以下两种数据：

a:密钥实体（Keyentity）——密钥（secretkey）或私钥和配对公钥(不对称加密)

b:可信的证书实体（trustedcertificateentries）——只包含公钥

2）-keystored:\mykeystore\keystore.p12，指定在d:\mykeystore(首先，手动创建此文件夹)，生成keystore:keystore.p12

3）-aliastomcat，指示keystore中唯一的别名：tomcat，因为keystore中可能还有其他的别名，比如：tomcat2

4)-storePKCS12指示密钥仓库类型为PKCS12

5）-keyalgRSA，指定加密算法，本例采用通用RAS加密算法

6)-keysize2048指定密钥的长度为2048

7)-validity3650指定证书有效期为3650天

8）-extsan=ip:请根据您的服务器IP地址设置192.168.100.132，如果不设置，客户端在访问时可能会报错

9）-dname“CN=garyyan,OU=mycompany,O=mycompany,L=gd,ST=gd,C=china”

其中：”CN=(姓名与姓氏)，OU=(组织单位名称)，O=(组织名称)，L=(城市或区域名称)，ST=(州或省名)，C=(单位两字母国家代码)”，我在测试过程中发现随便填就行了

4：导出公钥证书(主要用于客户端)：

运行命令：keytool-export-keystored:\mykeystore\keystore.p12-aliastomcat-filemycer.cer-storepass123466

其中：

1）-keystored:\mykeystore\keystore.P12是指上面的keystore文件

2)-aliastomcat是指定别名为tomcat的组

3）-filemycer.当前目录生成的cer指定为mycer.cer证书

4)-storepass123456是生成keystore所用的密码

Q:

SSL证书无效怎么办？

1、页面包含不安全的内容

目前，每个页面都提倡使用https，因此网站的所有内容都必须是https。如果遇到图片和JS脚本，FLASH插件通过http调用，SSL证书将无效。

解决方法：将调用元素http改为https，然后刷新测试SSL问题是否已经解决。

2、使用自签名或通用性差的SSL证书

自签名SSL证书是由个人或组织自己颁发的证书。它们有很大的安全风险，更容易受到攻击，不受浏览器的信任。同样，使用小型服务提供商颁发的通用性差的SSL证书也不受浏览器的信任。因为证书信任链的顶层是CA机构，而这些小服务提供商缺乏CA机构的信誉，不受浏览器的信任，会提示SSL证书无效。

解决方案：选择通过国际Webtrust标准认证，具有国际电子认证服务能力的CA机构。

3、SSL证书中包含的域名与网站不匹配

每个SSL证书对应的域名都是唯一的，是全域名FQDN。当网站出具的证书中包含的域名与网站域名不一致时，系统会自动发出报告，提示证书域名不匹配，这也是SSL证书无效的常见原因之一。

解决方案：需要重新申请SSL证书。若需要保护多个域名，则需要申请多域名SSL证书或通配符SSL证书。

4、网站证书已过期或尚未生效

这种情况一般是计算机系统日期错误，另一种是证书及有效期过后，需要续费。

解决方案：检查证书信息的有效起止日期，确定证书是否在有效期内，如果在，检查计算机日期是否正确。否则，第二个原因是SSL证书不在有效期内，需要更换。更换SSL证书，您可以找到原SSL证书申请机构，也可以找到其他SSL证书发行机构重新申请新的SSL证书，使用新的SSL证书不会对您的HTTPS网站产生任何影响。