nginx更新ssl证书-互亿无线

nginx更新ssl证书介绍

一、生成新的证书。

在使用Nginx更新SSL证书之前，我们需要先自己生成一份证书。通常，用户会联系证书颁发机构购买证书，但是这种证书价格比较高，对于小型网站运营者来说不太实用。因此，我们可以使用Let’s Encrypt免费证书生成器来获取自己的SSL证书。

二、备份旧证书文件。

在更新证书之前，我们需要先备份旧证书文件。在备份之前，我们需要确认现有证书和私钥的名称以及位置。通常，在Nginx中，证书和私钥的位置设置如下：

```

ssl_certificate /etc/ssl/certs/ssl-cert-snakeoil.pem;

ssl_certificate_key /etc/ssl/private/ssl-cert-snakeoil.key;

```

因此，在备份证书时，我们需要备份以上两个文件。

三、更新证书

1. 使用Certbot工具更新证书

Certbot是一个自动HTTPS证书申请和安装工具。在使用Certbot之前，需要先安装Certbot。安装方法如下：

```

$ sudo apt-get update

$ sudo apt-get install software-properties-common

$ sudo add-apt-repository ppa:certbot/certbot

$ sudo apt-get update

$ sudo apt-get install certbot

```

安装完成之后，我们可以使用以下命令生成证书：

```

$ sudo certbot certonly --standalone -d example.com

```

其中，example.com是我们需要生成证书的域名，可以替换为自己的域名。

生成证书完成之后，我们需要将证书文件复制到Nginx指定路径下：

```

$ sudo cp /etc/letsencrypt/live/example.com/fullchain.pem /etc/ssl/certs/ssl-cert-snakeoil.pem

$ sudo cp /etc/letsencrypt/live/example.com/privkey.pem /etc/ssl/private/ssl-cert-snakeoil.key

```

2. 使用自己生成的证书更新

如果我们使用自己生成的证书更新，则需要将证书和私钥复制到指定位置：

```

$ sudo cp /path/to/new/cert /etc/ssl/certs/ssl-cert-snakeoil.pem

$ sudo cp /path/to/new/key /etc/ssl/private/ssl-cert-snakeoil.key

```

四、重启Nginx

在证书更新完成之后，我们需要重启Nginx才能让新证书生效。可以使用以下命令重启Nginx：

```

$ sudo systemctl restart nginx

```

本文介绍了如何使用Nginx更新SSL证书的方法，使用Let’s Encrypt免费证书生成器可以免费获取证书，Certbot是一个自动SSL证书申请和安装工具，便于操作。备份旧证书文件和重启Nginx也是更新证书的必要步骤。

互亿无线一站式SSL证书服务平台

互亿无线力求为您提供一站式SSL证书解决方案，守护您的网站安全与信誉。我们向您呈现多元化的SSL证书类型，包括DV（域名验证）、OV（组织验证）以及EV（扩展验证）证书，满足您不同的安全需求。我们提供丰富的证书类型，包含单域名、多域名以及通配符证书。以满足您网站架构的需求。我们与全球的证书品牌，如Globalsign、DigiCert、Entrust、Baidu Trust 百度、Wotrus等保持紧密的合作关系，确保您获得高质量的SSL证书。

互亿无线SSL证书平台优势

	一站式SSL证书购买服务包含国内外知名SSL证书品牌，为您提供便利的一站式SSL证书购买服务，提供快速签发的SSL证书
	快速签发的SSL证书高效便捷的SSL证书申请体验，提供全方位的证书安装技术支持
	我们提供高性价比的SSL证书价格方案让您在购买SSL证书时享受性价比的方案，帮助您节省使用成本
	我们提供一站式的SSL证书服务确保您享受周到的SSL证书安装技术支持和完善的证书管理与提醒服务

常见问题

SSL自签名证书存在的安全隐患都有什么？

公钥加密基础设施（PKI）中、证书颁发机构（CA）必须信任证书签名人，以保护私钥，并通过互联网在线传输信息。然而，在签署SSL证书的情况下，CA无法识别签名人或信任它，因此私钥将不再安全和损坏，这鼓励网络罪犯攻击网站并窃取信息。

⌈自签名SSL证书的缺点⌋：

·应用/操作系统不信任自签证证书，可能导致身份验证错误等。

·低哈希和密码技术可用于自签证。因此，自签证的安全水平可能不符合当前的安全策略。

·不支持高级PKI(公钥基础设施)功能，如网上检查撤销列表等。

·自签证的有效期一般为一年，这些证书每年都需要更新/更换，这是一个难以维护的问题。

⌈在公共场所使用自签名SSL证书的风险⌋：

与自签名SSL证书相关的安全警告将驱逐潜在客户，因为他们担心该网站无法保护其凭证，从而损害品牌声誉和客户信任。

⌈在内部网站上使用自签名SSL证书的风险⌋：

在公共网站上使用自签名证书的风险很明显，在内部使用也有风险。内部网站（如员工门户）上的自签名证书仍然会导致浏览器警告。许多组织建议员工忽略警告，因为他们知道内部网站是安全的，但这可能会鼓励危险的公共浏览行为。习惯于忽视内部网站警告的员工可能会忽略公共网站上的警告，使他们和你的组织容易受到恶意软件和其他威胁的攻击。

如果自签名SSL证书安装在电子商务网站上，用户会感受到数据和信息被盗的风险，退出购物，这也会影响在线业务和所有者的声誉。收集用户敏感信息和个人信息的网站不得安装自签名SSL证书。银行、电子商务、社交媒体、医疗保健和政府部门就是其中之一。公钥加密基础设施（PKI）中、证书颁发机构（CA）必须信任证书签名人，以保护私钥，并通过互联网在线传输信息。然而，在签署SSL证书的情况下，CA无法识别签名人或信任它，因此私钥将不再安全和损坏，这鼓励网络罪犯攻击网站并窃取信息。

⌈自签名SSL证书的缺点⌋：

·应用/操作系统不信任自签证证书，可能导致身份验证错误等。

·低哈希和密码技术可用于自签证。因此，自签证的安全水平可能不符合当前的安全策略。

·不支持高级PKI(公钥基础设施)功能，如网上检查撤销列表等。

·自签证的有效期一般为一年，这些证书每年都需要更新/更换，这是一个难以维护的问题。

⌈在公共场所使用自签名SSL证书的风险⌋：

与自签名SSL证书相关的安全警告将驱逐潜在客户，因为他们担心该网站无法保护其凭证，从而损害品牌声誉和客户信任。

⌈在内部网站上使用自签名SSL证书的风险⌋：

如果自签名SSL证书安装在电子商务网站上，用户会感受到数据和信息被盗的风险，退出购物，这也会影响在线业务和所有者的声誉。收集用户敏感信息和个人信息的网站不得安装自签名SSL证书。银行、电子商务、社交媒体、医疗保健和政府部门就是其中之一。

SSL证书无效怎么解决？

1、页面包含不安全的内容

目前，每个页面都提倡使用https，因此网站的所有内容都必须是https。如果遇到图片和JS脚本，FLASH插件通过http调用，SSL证书将无效。

解决方法：将调用元素http改为https，然后刷新测试SSL问题是否已经解决。

2、使用自签名或通用性差的SSL证书

自签名SSL证书是由个人或组织自己颁发的证书。它们有很大的安全风险，更容易受到攻击，不受浏览器的信任。同样，使用小型服务提供商颁发的通用性差的SSL证书也不受浏览器的信任。因为证书信任链的顶层是CA机构，而这些小服务提供商缺乏CA机构的信誉，不受浏览器的信任，会提示SSL证书无效。

解决方案：选择通过国际Webtrust标准认证，具有国际电子认证服务能力的CA机构。

3、SSL证书中包含的域名与网站不匹配

每个SSL证书对应的域名都是唯一的，是全域名FQDN。当网站出具的证书中包含的域名与网站域名不一致时，系统会自动发出报告，提示证书域名不匹配，这也是SSL证书无效的常见原因之一。

解决方案：需要重新申请SSL证书。若需要保护多个域名，则需要申请多域名SSL证书或通配符SSL证书。

4、网站证书已过期或尚未生效

这种情况一般是计算机系统日期错误，另一种是证书及有效期过后，需要续费。

解决方案：检查证书信息的有效起止日期，确定证书是否在有效期内，如果在，检查计算机日期是否正确。否则，第二个原因是SSL证书不在有效期内，需要更换。更换SSL证书，您可以找到原SSL证书申请机构，也可以找到其他SSL证书发行机构重新申请新的SSL证书，使用新的SSL证书不会对您的HTTPS网站产生任何影响。

如何下载SSL证书？

一、下载免费DVSSL证书的HTTPS证书

DVSSL证书属于HTTPS证书的一种，在HTTPS证书中要求最低，一般用于个人网站。不建议用于企业网站，尤其是与金融、交易、权威、形象相关的企业，不要使用DVSSL证书。因为是免费的，国内的证书申请和证书下载都是全自助的。一般来说，证书提供商提供一个互联网申请入口，然后用户自己生成CSR，部署域名验证逻辑，可以下载证书。没有服务。这种自助服务，对于企业来说，成本最高，成本最高。

二、下载收费的OVSSL证书和EVSSL证书的HTTPS证书

在HTTPS证书中，OVSSL的审核相对较高，而EVSSL证书是HTTPS证书中最严格的审核要求。在用户申请、部署、下载、使用的整个过程中，有证书提供商为客户提供满意的服务。一般而言，这些供应商将提供以下一站式服务：

1、在访问证书提供商的网站时，提供商会有专门的客户服务人员与您沟通，为您解开HTTPS之谜。

2、当您打算购买HTTPS证书时，客户服务人员会告诉您如何生成CSR，如何准备申请材料。基本上，您需要做的是告诉客户服务人员最简单的信息，客户服务人员可以根据您的实际情况提供最贴心的服务。即使你是一个对HTTPS一无所知的员工，也可以在客户服务人员的指导下完成证书申请。

3、下载证书就更简单了。一般来说，这些提供商会直接部署适合你企业的网站，根据你的实际情况生成各种合适格式的证书，通过微信生成。QQ、或电子邮件发送给你。

4、收到HTTPS证书后，提供商会安排技术人员远程协助您部署。