文档中心

Appearance

重颁发与历史版本 ​

重颁发用于基于已有 CertCloud 订单重新提交签发申请，例如私钥丢失、需要更换密钥或调整产品允许修改的参数。它不是重新导入文件，也不等于延长订单订阅期限；普通手动导入的证书需向原签发方处理，不能在这里自动转成 CertCloud 订单。

操作前准备 ​

您需要证书管理权限，能够查看目标订单；新证书的服务绑定和部署检查还需要对应的访问服务管理权限。

当前版本会为本次证书签名请求（CSR）生成新密钥；即使采用相同的加密算法和密钥强度，也会生成新私钥，不复用原私钥。界面没有独立的“换钥”开关，无须为了换钥特意修改算法或强度。生成的是用于新证书的密钥，不能恢复旧证书丢失的私钥。

  • 当前 CertCloud 账号与原订单匹配，订单状态允许重颁发；按钮不可用时先看页面提示，不另建重复订单绕过限制。
  • 产品、主域名不是任意可变字段。需要改产品或主域名时，通常应按新申请流程处理；备用域名是否可改取决于产品和界面限制。
  • 了解该证书关联的访问服务，并安排变更窗口。私钥泄露不只是换证问题，还应按原 CA 或 CertCloud 的流程处理旧证书吊销；不要把新证书签发当作泄露已全部处理。
  • 若需要证明密钥已更换，在重颁发前保留原公开叶证书，便于与新公开叶证书比较；这项检查不需要导出私钥。

提交重颁发 ​

  1. 在 证书管理 查询原证书，核对域名、产品和订单，点击 重颁发。
  2. 检查只读的主域名和原产品；仅修改界面允许变更的备用域名或组织等字段。
  3. 选择产品允许的 加密算法、密钥强度 和 验证方式。商密产品按 SM2 双证书要求处理；不要仅因更换算法就假定客户端一定兼容。
  4. 若使用 DNS 持久验证，核对页面提供的验证值有效期选项；不要假定历史设置会原样沿用。
  5. 点击 提交重颁发，返回列表查看状态；有订单进度后，不要重复点击提交。
  6. 若要求重新验证域名，按本次返回的信息完成域名验证，等待审核与签发。
  7. 新材料就绪后，检查关联访问服务的部署结果，并从实际客户端核对证书序列号和到期时间。

基于原订单调整加密算法、密钥强度和验证方式后提交重颁发

实际可修改字段取决于产品与订单状态。

确认密钥已更换 ​

如果变更目的是换钥，应进一步比较新旧证书的公钥。序列号或整张证书指纹变化，不足以证明换钥：即使使用相同公钥，新证书的这些信息也可能变化。

取得重颁发前后的公开叶证书，分别保存为 old-leaf.pem 和 new-leaf.pem，使用支持对应算法的 OpenSSL 比较公钥的 SPKI（SubjectPublicKeyInfo）SHA-256 摘要。此操作只读取证书，不需要导出或读取私钥：

bash
set -o pipefail

openssl x509 -in old-leaf.pem -pubkey -noout \
  | openssl pkey -pubin -outform DER \
  | openssl dgst -sha256

openssl x509 -in new-leaf.pem -pubkey -noout \
  | openssl pkey -pubin -outform DER \
  | openssl dgst -sha256

每条管道均成功、无解析错误，且两个摘要不同，才说明公钥发生了变化。随后按客户端验证方法确认业务入口实际呈现的是新证书；也可保存入口的公开叶证书，用同一方法确认其公钥摘要与新证书一致。不要把命令出错时的空输入摘要当作验证结果。

SM2 双证书应分别核对签名证书和加密证书的公钥，不能仅凭签名证书换钥就断言加密证书也已换钥；实际结果还取决于远端签发材料。使用支持 SM2 / TLCP 的工具或客户端完成对应检查。

证书历史与版本选择 ​

同一 CertCloud 证书在续期或重颁发后可能有多个版本，系统将它们归在同一逻辑证书组中，部分界面称为“容器”；它不是 Docker 容器。

  1. 在证书列表点击 详情，查看订单状态、自动续期状态及证书域名、算法、序列号、颁发和到期时间。
  2. 在访问服务中查看关联证书详情，核对该服务实际引用的版本。证书列表中的最新记录不一定就是服务当前使用的版本。
  3. 更换证书时，在访问服务编辑页的 证书配置 中选择可用证书并保存；候选项会受算法、域名覆盖和材料状态限制，选择前仍需检查有效期。
  4. 按部署与生效检查从客户端确认实际证书，不只比较管理页面中的记录。

当前界面不提供独立的历史版本回滚操作入口。需要处理历史版本锁定或恢复特定版本时，请先联系管理员或支持人员确认方案，不要直接修改数据库或替换运行目录中的文件。

完成检查 ​

  • 重颁发流程成功，新证书和私钥完整，域名、算法和有效期符合预期。
  • 如果变更目标是换钥，公钥比较命令全部成功，且新旧证书的公钥摘要不同；SM2 签名与加密证书分别检查。
  • 目标访问服务使用了预期版本，并通过客户端检查；如存在锁定历史版本或部署失败，按部署与生效检查处理。
  • 仅看到订单恢复“已签发”还不足以结束变更。因私钥泄露而换证时，还需完成旧证书的吊销处理。

常见问题与下一步 ​

  • 相同算法与强度是否还会换钥：当前版本仍会生成新私钥，无需故意修改算法或强度。
  • 重颁发是否延长订阅：不会；要更新订单服务期限，仍需按原产品规则处理。
  • 丢失的旧私钥能否恢复：不能。重颁发生成新证书使用的密钥，不会恢复原私钥；原私钥仍在时，可补录匹配的私钥。
  • 序列号变了但公钥摘要未变：不要据此宣称已完成换钥；先核对比较的证书是否正确、命令是否全部成功，再确认签发材料和实际部署版本。
  • 网站仍使用旧版本：查看部署检查和相关常见问题，不直接操作数据库或运行目录文件。