文档中心

Appearance

证书管理 ​

证书用于证明网站身份并建立加密连接。您可以导入已有证书，也可以通过 CertCloud 在线申请或同步证书。执行申请、导入和续期设置等操作，需要证书管理权限；CertCloud 账号配置由管理员完成。

选择接入方式 ​

您当前的情况从哪里开始
已有证书文件和对应私钥导入已有证书
尚无证书，希望在 HiHTTPS 中申请CertCloud 证书
已在 CertCloud 申请，希望同步到 HiHTTPS订单同步
证书已同步，但页面提示缺少私钥私钥导入
已有网站，需要确认是否用了更新后的证书证书生效与热加载

签发成功不等于网站已上线

“已签发”表示证书已由 CA 签发，不代表访问服务已经部署新证书。还需检查私钥、证书绑定、服务状态，并从实际客户端验证。

导入已有证书 ​

适用于已经取得证书和私钥、无需通过 HiHTTPS 申请的场景。无需先配置 CertCloud 账号。

准备材料 ​

证书标准必需材料
国际密码算法，如 RSA、ECDSA证书文件、对应私钥文件
商用密码算法 SM2签名证书、签名私钥、加密证书、加密私钥
  • 证书文件必须是 PEM 内容，仅修改文件扩展名不会将其他格式转换为 PEM。
  • 国际证书及 SM2 签名私钥使用未加密 PEM；导入证书表单不提供私钥密码输入框。SM2 加密私钥还支持界面提示的 GM/T 0009 密文格式。
  • 单项材料不得超过 100 KB。请在受控环境中准备文件，不要上传到公共转换网站。
  • 使用 CA 提供的完整证书链文件；当前表单没有独立的中间证书上传字段，证书文件应包含部署所需的证书链。
  • 确认证书覆盖服务需要的全部域名，且在有效期内。私钥必须与证书配套，不能通过重新生成一把私钥来补齐已有证书。

导入步骤 ​

  1. 进入 证书管理，点击 导入证书。
  2. 在 证书标准 中选择 国际密码算法 或 商用密码算法。
  3. 在 导入方式 中选择 文件上传 或 粘贴内容。
  4. 按字段名称分别提供证书和私钥；SM2 需要同时提供四项材料，不要将签名和加密材料填反。
  5. 点击 导入，等待“证书已导入”提示。
  6. 查看证书域名、算法和到期时间，再到访问服务的 证书配置 中选择该证书并保存。

完成检查：证书出现在列表中，没有材料缺失提示；绑定的服务能够使用该证书完成 HTTPS 连接。

导入的证书不参与 CertCloud 自动续期。到期前需要自行取得新证书并重新导入；如果产生新的证书记录，还需检查和调整服务绑定，不能只上传文件就结束维护。

CertCloud 证书 ​

前置条件 ​

管理员先在 设置 -> CertCloud 账号设置 -> CertCloud OpenAPI 凭证 中填写并保存账号凭据，具体见配置 CertCloud 账号。HiHTTPS 服务器还需能够访问配置的 CertCloud 服务地址。

未配置账号时，申请证书 按钮不可用。按钮恢复可用只表示已保存配置；如果产品加载或申请失败，仍需检查凭据有效性、账号权限和网络。

申请前准备：

  • 要保护的域名列表，以及对应 DNS 管理权限或验证文件的发布权限。
  • 适合域名类型、算法和审核要求的证书产品。
  • 对于需要组织审核的产品，准备所选产品要求的、已通过审核的组织。
  • 确认申请页展示的计费账户、可用套餐和预计扣点；实际费用以 CertCloud 订单为准。

申请流程 ​

  1. 进入 证书管理，点击 申请证书。
  2. 查看当前证书产品；需要更换时点击 切换产品，选择账号可申请的产品。
  3. 在 通用名称 / 备用名称 中填写域名，多个域名用英文逗号分隔，例如 app.example.com,www.example.com。只填写域名，不填写 https://、端口或 URL 路径。
  4. 选择 订单有效期 和 域名验证方式。可选方式与通配符、多域名能力由所选产品决定，不能通过填写更多域名绕过产品限制。
  5. 页面要求组织时，选择对应组织；按需在 高级选项 中设置加密算法和密钥强度。
  6. 核对 申请摘要 与计费信息，阅读并勾选同意 《亚洲诚信订户协议》，点击 提交申请。
  7. 按页面提示完成域名验证。尚未返回验证值时，稍后回到列表刷新状态，不要因此重复提交订单。
  8. 等待审核与签发，确认本地证书材料完整后，绑定到访问服务并验证 HTTPS。

订单有效期与单张证书有效期不同

订单有效期表示订阅服务期限，不代表一次签发的证书能使用同样长的时间。日常维护要同时关注订单服务到期时间和当前证书到期时间。

完成域名验证 ​

域名控制验证（DCV）用于证明您有权为这些域名申请证书。提交申请后可能自动打开验证窗口；也可在证书列表点击待验证订单的状态，查看 域名验证 信息。

DNS、CNAME 和 DNS 持久验证 ​

  1. 查看每个待验证域名的 记录类型、主机记录 和 记录值。
  2. 在域名实际使用的权威 DNS 服务商控制台添加对应记录。按订单显示的类型添加，不要将 CNAME 改为 TXT，或把业务 A 记录当作验证记录。
  3. 核对 DNS 控制台是否自动补全域名后缀，避免将同一后缀填写两次。记录值使用页面完整内容。
  4. 等待记录生效，再点击 我已配置完成，检测一下。多域名订单需逐项检查。
  5. 根据检测结果继续处理，并刷新订单状态。

DNS 验证不要求业务 A/AAAA 记录指向当前 HiHTTPS 服务器。DNS 持久验证（dns-persist）通常使用 TXT 记录，在授权范围和有效期内可被后续申请复用；需要持续复用时不要随意删除，到期前按新要求更新。

文件验证 ​

首次申请时，如所选产品支持文件验证，无须先创建 HTTP 访问服务。HiHTTPS 收到 CertCloud 返回的验证信息后，会自动配置验证文件，并通过系统自带的 HTTP 入口提供访问。

  1. 申请前，将待验证域名解析到客户端和 CA 可达的 HiHTTPS 入口地址，确保公网 TCP 80 能到达该实例；需要 NAT 时，正确配置端口转发。管理端口 81 或业务自定义端口不能代替此验证入口。
  2. 提交申请后，查看页面给出的 文件验证路径 和 文件验证内容。具体路径和值以订单为准，当前内置入口处理 /.well-known/pki-validation/ 下的文件，不要自行编造文件名。
  3. 页面提示验证文件已配置后，从外部网络访问实际验证 URL，核对返回内容，而不是只检查服务器本机。响应不应是登录页、业务页面或错误信息。
  4. 验证值尚未就绪时，稍后刷新，不必重复申请；取得完整验证值并确认 URL 可达后，在验证窗口点击 我已配置完成，检测一下。

如果域名仍指向其他站点，HiHTTPS 不会自动修改该站点或上传文件；请由实际入口的管理人员按订单要求发布文件或转发验证路径。CDN、前置代理、访问控制和 HTTPS 跳转都可能影响验证，不能假定 CA 一定接受跳转后的地址。无法提供符合要求的文件访问时，改用产品支持的 DNS 验证方式。

完成检查：验证已通过，订单继续进入审核或签发流程。验证通过不代表所有产品立即签发，组织审核等要求仍需完成。

订单同步 ​

适用于把当前 CertCloud 账号下已有的证书订单同步到 HiHTTPS。

  1. 管理员进入 设置 -> CertCloud 账号设置 -> 订单同步。
  2. 点击 立即同步一次，查看任务进度。关闭页面不会取消后台同步，可稍后返回查看结果。
  3. 检查新增、更新、跳过和失败数量；有失败时查看原因，不能把“任务已启动”当作全部同步成功。
  4. 返回 证书管理，查看同步后的订单、证书有效期及材料状态。
  5. 需要持续同步时，开启 开启定时同步，选择 同步频率 并保存。

每轮最多读取前 2000 条订单，并处理其中符合条件的 SSL 订单，不是全部历史订单的无限量同步。订单量超过上限时，应检查页面范围提示；未出现的订单不能直接认定为已删除。

同步只取得可获取的订单与证书材料，不会凭空生成原证书的私钥。页面提示“缺少私钥”时，继续执行下一节。

私钥导入 ​

  1. 找到提示 缺少私钥 的证书行，点击 更多 -> 导入私钥。
  2. 选择 文件上传 或 粘贴内容，提供申请该证书时使用的私钥。
  3. 私钥有密码时，在对应的 私钥密码 字段填写密码；单个私钥最大 16 KB。
  4. SM2 双证书需同时提供 签名私钥 和 加密私钥，如有密码分别填写。
  5. 点击 导入并匹配。出现不匹配提示时，重新核对证书来源和私钥，不要更换成随机生成的密钥。
  6. 导入成功后，重新检查材料状态和访问服务绑定，并从客户端验证。

这里的“加密私钥”在 SM2 场景中指加密用途的私钥，不等同于“带密码保护的私钥文件”。

如果原私钥已经丢失，不能从已签发的证书中恢复；需要按证书产品规则重颁发或重新申请，并重新部署。

证书生效与热加载 ​

HiHTTPS 支持证书材料更新及相关服务的自动部署处理，但不能把“已签发”“已同步”或“私钥导入成功”单独作为业务已经使用新证书的依据，也不能承诺所有变更都无需重新加载配置。

更新后按以下顺序检查：

  1. 证书可用：已签发、未过期，域名覆盖目标服务，证书和私钥齐全。
  2. 绑定正确：在访问服务的 证书配置 中查看实际选中的证书；新建服务需要主动绑定并保存。
  3. 服务已启用：保存没有配置测试或加载错误。禁用的服务不会因为证书签发而自动上线。
  4. 版本符合预期：服务未停留在不再使用的历史版本；必要时重新选择当前证书并保存。
  5. 客户端验证通过：重新建立 HTTPS 连接，检查实际返回的证书域名、序列号和到期时间。

已有同一证书组绑定、且未锁定历史版本的服务，会由部署任务尝试更新。出现部署失败时，应先处理页面或日志中的原因，再确认网站证书是否切换；不要只等待浏览器缓存自动消失。

客户端验证示例见发布第一个 HTTPS 服务。

证书历史与版本选择 ​

同一 CertCloud 证书在续期或重颁发后可能有多个版本，系统将它们归在同一逻辑证书组中，部分界面称为“容器”；它不是 Docker 容器。

  • 在证书列表点击 详情，查看订单状态、自动续期状态及证书域名、算法、序列号、颁发和到期时间。
  • 在访问服务中查看关联证书详情，核对该服务实际引用的版本。证书列表中的最新记录不一定就是服务当前使用的版本。
  • 更换证书时，在访问服务编辑页的 证书配置 中选择可用证书并保存；候选项会受算法、域名覆盖和材料状态限制，选择前仍需检查有效期。

当前界面不提供独立的历史版本回滚操作入口。需要处理历史版本锁定或恢复特定版本时，请先联系管理员或支持人员确认方案，不要直接修改数据库或替换运行目录中的文件。

自动续期 ​

自动续期适用于符合条件的 CertCloud 证书，不适用于普通导入证书。能否开启以订单详情的实际提示为准，不能仅凭“DV 证书”或“已签发”推断支持。

  1. 在 证书管理 找到目标证书，点击 详情。
  2. 查看 自动续期 状态。开关可用时，根据维护要求开启，并确认操作成功。
  3. 保持 CertCloud 账号有效、网络可达，并维护产品所需的域名验证条件。当前自动申请依赖文件验证，或产品支持自动切换到文件验证；仅支持 DNS 验证的产品不能据此保证自动续期。
  4. 定期检查剩余有效期、订单状态和实际网站证书，尤其是在域名解析、网络或 CertCloud 账号变更后。

注意事项：

  • 自动续期开关按证书组生效，共享这组证书的服务会受到影响，并不是单个网站独立的开关。
  • 关闭自动续期主要阻止后续自动申请，不会自动取消已经提交的订单。
  • 更换为其他 CertCloud 账号会暂停原账号订单的自动续期，应先评估现有证书的维护安排。
  • 新证书仍需成功下载、安装并部署；续期任务失败或暂停后，应按提示处理，必要时人工申请和更新。
  • 自动续期不等于自动延长订单订阅服务期限，订单到期仍需按产品规则处理。

下载与保管 ​

管理员可在证书 详情 中使用 下载证书，按下载窗口提供的格式导出。材料缺失或尚未签发时，下载选项可能不可用。能查看证书不代表有权导出私钥。

证书导出文件可能包含私钥，应存放在受控位置，不要放入代码仓库、公开聊天或工单附件。需要随配置一起备份时，使用系统加密备份。