如何更新 SSL 根证书

2020年5月30日，AddTrust External CA Root 过期，虽然不影响客户端浏览器访问网站，但服务器端调用接口（file_get_contents）会出现问题，原因是证书链中根证书过期（必须使用检测工具检查服务端的证书链，而不是查看客户端浏览器上的证书信息，因为客户端浏览器上看到的的根证书是客户端系统上的根证书，是随着系统自动更新的）。

这里，Windows Server 的 IIS 与 CentOS 中的 nginx 又有所区别，咱们分开来讲：

如何更新 Windows Server 的 IIS 中的网站的根证书？

Windows Server 本身相当于一个客户端，会自动更新根证书，只不过 IIS 中的网站证书未同步更新。

打开 IIS，进入对应网站的“绑定”界面，重新绑定即可生效。简单的方法是简单修改主机名，确定，再改回原主机名，确定。

如何更新 CentOS 的 nginx 中的网站的根证书？

nginx 中使用的域名证书（pem 文件），即 conf 文件中设置的 ssl_certificate 路径对应的证书文件，是包含根证书信息的：

因此保留第一段域名证书信息，用新的根证书信息替换掉除第一段的其它内容即可。

xoyozo 5 年前

6,642

如何选择 SSL 证书

苹果宣布 2017 年 1 月 1 日开始所有上架的应用必须启用 ATS 安全传输功能。ATS 要求服务器必须支持传输层安全(TLS)协议 1.2 以上版本；证书必须使用 SHA256 或更高的哈希算法签名；必须使用 2048 位以上 RSA 密钥或 256 位以上 ECC 算法等等，不满足条件的证书，ATS 都会拒绝连接。查看具体要求
微信小程序进入开发公测阶段，同样要求提供 HTTPS 方式安全连接。

证书类型对比

		DV SSL 域名验证型	OV SSL 组织验证型	EV SSL 扩展验证型
申请条件	申请对象	个人 / 企业	企业	企业
	证明域名所有权	√	√	√
	价格	免费 / 低	中	高
提交审核	提交资料	邮箱、姓名、手机等	DV 所需资料以及：组织机构资料（企业执照）等	OV 所需资料以及：法律相关文件
提交审核	审核时间	自动审核 1小时内	人工审核 3~5工作日	人工审核 3~5工作日
可信标识	地址栏挂锁	√	√	√
	地址栏公司名称	×	×	√
	绿色地址栏（IE）	×	×	√
保护范围	单域名	√	√	√
	多域名	√	√	√
	通配符/泛域名	√	√	×
推荐用途		个人及小型网站	一般组织或中小型企业	金融、电商、大型企业或受信组织

* 表格中，单域名指单个子域名（如：123.abc.com），多域名指多个子域名（可以不属于同一个顶级域名，如：123.abc.com / 456.abc.com / 456.def.com），通配符指单个顶级域名的所有子域名（如：*.abc.com）。
* 若 https 的网页中包含 http 资源，则地址栏的锁可能会消失。
* 浏览器上点击地址栏的锁可以查看具体的证书详情。

证书颁发机构（CA）

机构	简介	谁在用
Let's Encrypt	公益组织，免费，每 90 天续约	越来越多的中小网站
Symantec	赛门铁克	百度、支付宝、阿里云、Apple（EV）、微软
GlobalSign	公众信任服务行业的领头羊	淘宝、天猫（OV）、阿里云、京东（OV）
GeoTrust	全球第二大？	微信
Comodo	价格实惠
GoDaddy	全球互联网域名注册商
DigiCert	不颁发 DV，在非 DV 市场份额中是老大	Facebook、Twitter（EV）、Mozilla（EV）、GitHub（EV）等
沃通 WoSign	国产	360搜索（EV）
Other