下载证书时提示没有私钥，怎么办？

证书和私钥是两份不同的数据。下载到公开证书，不代表当前电脑拥有与其匹配的私钥。 先回顾申请时在哪里生成 CSR，不要立即删除工具数据或重新下单。

1. 按 CSR 来源找私钥

申请方式	优先检查
KeyManager 离线生成	当时使用的电脑、KeyManager 数据环境及已有备份。参见 KeyManager 下载指南。
上传或粘贴 CSR	原服务器、设备、密钥库或负责生成 CSR 的人员；CSR 本身不包含私钥。
历史浏览器生成方式	原电脑、原浏览器数据及备份；换浏览器或电脑不会自动带回原私钥。
HSM 或其他设备内生成	按设备的密钥使用及证书导入流程操作，密钥可能不能导出。

2. 私钥还在：使用原私钥

下载站点证书及配套中间链，与原私钥一起部署；需要 PFX/JKS 时，在可信的本地环境完成封装。不要把随机生成的新私钥与原证书拼接使用。

对于本地 PEM 文件，可比较证书与私钥导出的公钥指纹，适用于常见 RSA/ECC 密钥：

openssl x509 -in server.pem -pubkey -noout | openssl pkey -pubin -outform DER | openssl dgst -sha256
openssl pkey -in server.key -pubout -outform DER | openssl dgst -sha256

两条命令都必须成功，再比较摘要是否一致。加密私钥按提示在本机输入密码；不要将密码写入共享命令或日志。这里输出的是公钥摘要，不是私钥内容。

3. 私钥确实丢失：重新生成并重颁发

无法从证书或 CSR 反推出原私钥。确认没有可用备份后，在可信环境生成新的私钥和 CSR，按订单支持的重颁发流程获取新证书并更新部署。

先确认 重颁发对旧证书的影响。如果怀疑私钥泄露，应立即联系技术支持确认吊销和应急替换，不能仅按普通丢失处理。

请勿向技术支持发送私钥、PFX/JKS 文件或其密码。 提供报错、CSR 生成方式及是否仍保留原环境即可。