文档中心

Appearance

将证书部署到服务 ​

本文帮助您把已申请、同步或导入的证书用于访问服务，并确认业务入口实际呈现的是预期证书。“已签发”“已同步”或“私钥导入成功”不能单独作为部署成功的依据。

操作前准备 ​

  • 您具有访问服务管理权限，能够查看需要绑定的证书及其详情。证书申请、导入等操作还需证书管理权限。
  • 证书已签发、未过期，域名覆盖目标服务，证书和私钥齐全。缺少材料时，先同步或导入证书及私钥。
  • 已有需要配置的访问服务；尚未创建时，先按创建与编辑访问服务配置域名、入口和后端。
  • 客户端能够访问服务的实际 HTTPS 入口地址与端口。已有业务换证时，先确认关联服务和变更窗口。
  • 使用 SM2 双证书时，已准备完整的签名、加密证书及对应私钥，并准备支持 TLCP 的客户端。普通 TLS 与 TLCP 需要分别配置和验证。

绑定到访问服务 ​

  1. 在 证书管理 找到目标记录，点击 详情，核对域名、算法、序列号和到期时间，以及是否缺少私钥。
  2. 进入 访问服务，找到需要使用该证书的服务，打开编辑页面。
  3. 核对服务域名、入口协议和端口，进入 证书配置 页签。
  4. 普通 HTTPS 在 TLS 证书 中选择覆盖服务域名的可用证书；商密连接在 TLCP 双证书（商密） 中选择对应记录。需要兼容普通浏览器时，再独立绑定国际 TLS 证书。
  5. 保存配置，确认没有配置测试或加载错误，并确认服务处于启用状态。禁用的服务不会因为证书签发而自动上线。
  6. 查看服务关联的证书详情，核对实际引用的版本，再从客户端验证。

候选证书会受算法、域名覆盖和材料状态限制；如果看不到目标证书，先补齐材料、核对适用条件，不要随机选择另一张证书。证书配置 配图、TLS 与 TLCP 及 SSL 选项说明见配置 HTTPS 与商密连接。

更新与热加载的边界 ​

HiHTTPS 支持证书材料更新及相关服务的自动部署处理，但不能承诺所有变更都无需重新加载配置。

  • 已有同一证书组绑定、且未锁定历史版本的服务，会由部署任务尝试更新。关联更新不等于已经成功部署，仍需核对错误和客户端实际证书。
  • 新建服务需要主动绑定证书并保存；手动导入产生新的证书记录时，也应检查是否需要调整原服务的绑定。
  • 证书列表中的最新记录不一定是服务当前使用的版本。服务停留在不再使用的历史版本时，必要时重新选择当前可用证书并保存。
  • 出现部署失败时，先处理页面或日志中的原因，再确认网站证书是否切换；不要只等待浏览器缓存自动消失，也不要反复申请新订单。

证书组、历史版本及当前界面的操作边界见证书历史与版本选择。

从客户端检查实际证书 ​

以下示例假设业务域名为 app.example.com，HiHTTPS 的客户端可达地址为 192.168.8.10，HTTPS 入口端口为 443。请全部替换为实际值；内网 IP 仅供能够路由到该地址的客户端使用，公网业务应使用实际公网入口。

在客户端重新建立 HTTPS 连接：

bash
curl -iv --resolve app.example.com:443:192.168.8.10 https://app.example.com/

--resolve 只为这次请求指定 HiHTTPS 地址，仍使用业务域名进行 HTTP 请求和 TLS 证书校验；它不会修改正式 DNS 解析。不要添加跳过证书校验的参数。私有 CA 签发的证书需要先在客户端安装并信任该 CA，或增加 --cacert /path/to/ca.pem。

检查 TLS 校验是否通过、是否返回预期业务响应，并在浏览器的证书查看器或支持相应协议的客户端中核对入口实际呈现的证书域名、序列号和到期时间，与证书详情中的目标版本对照。只看到 HTTP 200 或订单“已签发”都不足以证明使用了新证书；业务自身需要登录时，预期的登录页或跳转也可能是正常响应。

如果正式 DNS 已指向目标入口，还需直接通过正式域名检查实际访问路径；同时有 A 和 AAAA 记录时，两条路径都应正确提供服务。SM2 双证书使用支持 TLCP 的工具或客户端检查，不能用普通浏览器的 TLS 成功代替 TLCP 验证。完整的 DNS 切换前后检查见从客户端验证。

完成检查 ​

  • 证书可用：已签发、未过期，域名覆盖目标服务，证书和私钥齐全。
  • 绑定正确：服务实际选中了目标证书；新建服务或新的证书记录已主动绑定并保存。
  • 服务已启用：没有配置测试或加载错误，入口与后端符合预期。
  • 版本符合预期：服务没有停留在不再使用的历史版本，实际引用与目标版本一致。
  • 客户端验证通过：重新连接后 TLS 校验通过，实际返回的证书域名、序列号和到期时间符合预期，业务响应正常。

常见问题与下一步 ​

  • 已签发但不能选择证书：检查私钥、算法、域名覆盖和有效期，必要时先补录私钥。
  • 已保存但网站仍用旧证书：核对实际入口、服务状态、证书绑定、历史版本和部署错误，参见新证书已签发但网站仍使用旧证书。
  • 想恢复某个历史版本：当前没有独立回滚入口，按历史版本处理说明联系管理员或支持人员确认方案。
  • 希望后续更新更省事：查看自动续期的条件与失败处理；普通导入证书不参与 CertCloud 自动续期。