CDN承担边缘加密通信，SSL证书部署涉及类型选择、上传配置、证书链处理、回源设置和到期管理几个环节。本文国科云将按实际部署顺序说明各环节的操作要点和常见问题。
一、证书装在CDN还是源站
用户访问域名时，DNS把请求解析到较近的CDN节点，TLS握手在这一层完成，因此SSL证书也安装在节点上。源站只处理回源请求，握手和加解密不再由源站承担。
这样做的直接变化是握手距离缩短，首字节时间更稳定；源站CPU压力下降；证书能在一处统一管理，不必逐台服务器替换。
但需要注意的是，CDN节点不负责签发证书。证书仍要向CA机构申请，签发后把公钥证书和私钥部署到CDN侧，节点只负责调用。
二、确认证书覆盖哪些域名
CDN加速域名列表要和证书的域名列表保持一致。常见的疏漏是只给www.example.com申请，漏掉example.com本身，或者漏掉m.example.com这类子域。
单域名证书只保护一个域名。多域名证书（SAN）可以支持多个域名，但数量有上限。通配符域名证书保护*.example.com这一层所有子域，如www.example.com、admin.example.com、oa.example.com等等，但不覆盖下一层域名如1.www.example.com、2.admin.example.com。
企业站点加速域名多且分散时，可以使用多域名证书。子域数量多、经常新增的场景，通配符证书更为合适。
证书类型方面，DV只验证域名归属，签发快，验证强度低，不核验企业身份；OV要验证单位主体，证书详情里显示单位名称；EV在浏览器地址栏的特殊展示已基本取消，选型时不必过分看重这一项。
三、部署前的准备
文件格式。多数CDN要求PEM格式，证书和私钥都是文本，打开后能看到-----BEGINCERTIFICATE-----标记。如果是DER、PFX、JKS等格式，需要先进行格式转换。
证书链。服务器证书后面要跟中间证书，缺一段就会出现部分客户端握手失败的情况。安卓旧版本、部分Java客户端、一些App内置的HTTP库对链的完整性要求严格，桌面浏览器往往能自行补链，本地测不出问题。
私钥匹配。私钥和证书必须成对，上传前比对公钥指纹。私钥带密码的先解密再上传。
域名核对。证书的CN和SAN字段要包含加速域名，通配符只在最左侧有效。
备案。使用国内节点时，加速域名需完成ICP备案，未备案域名无法开启加速。
四、上传和绑定
控制台上传最常见：进入域名管理，打开HTTPS配置，粘贴证书内容和私钥，保存生效。证书托管类产品可以一键部署，省去手工粘贴。
绑定完成后先验证再切流量。可以使用curl或在线工具查看返回证书的主题、颁发者、有效期等信息，确认是否和预期一致。
批量安装的场景，建议先使用一个测试域名走一遍完整流程，确认回源、缓存、证书都正常，再把配置复制到其他域名。
五、协议和加密配置
开启HTTPS后要选协议版本。目前主流版本是TLS1.2和1.3，多数场景不建议开启TLS1.0/1.1。加密套件用厂商默认配置即可，有等保或行业要求时再进行自定义设置。
HSTS让浏览器后续只用HTTPS访问。配置前要确认全站HTTPS已就绪，包括图片、脚本这些子资源，否则用户会被锁在打不开的页面上。HTTP/2依赖HTTPS承载，开启后对资源数量多的页面有实际收益。
OCSP Stapling由节点缓存吊销状态查询结果，随握手一起下发，减少客户端单独查询的等待。开启前确认证书链完整，中间证书缺失时部分实现取不到状态。
六、SNI带来的兼容问题
一个IP承载多个域名，握手靠SNI字段区分用哪张证书。现代浏览器和主流系统都支持SNI。老版本安卓、部分嵌入式设备、少数老客户端不带这个字段，会拿到默认证书，出现域名不匹配的告警。
这类访问还有一定比例时，可以给相关域名单独分配IP，或者用一张多域名证书覆盖。
七、回源这一段同样要加密
边缘节点到源站这一段也承载业务数据。回源协议选HTTPS，源站配好证书，链路两端都加密。
源站IP上绑定多个域名时，要配置回源SNI，告诉源站返回哪张证书。回源HOST和回源SNI保持一致，两边不一致容易出现握手失败或421错误。
源站用自签证书时，部分CDN提供“忽略证书校验”的开关。这个开关会削弱回源安全，只适合内部测试环境。
八、常见故障
- 浏览器提示证书链不完整，检查是否漏传中间证书。
- 提示域名不匹配，核对SAN字段和实际访问域名。
- 电脑正常、部分手机打不开，多半出在证书链或协议版本的兼容性上。
- 源站返回502或421，检查回源HOST和回源SNI。
- 控制台显示已更新、访问还是旧证书，等缓存刷新，同时确认其他节点配置已同步。
- 页面能打开但样式丢失，检查混合内容。
结语
证书部署这一步本身不复杂，容易出问题的是域名覆盖、证书链、回源链路这些细节。上线前把验证步骤走一遍，比事后排查省时间。
| 国科云与国内外多家权威CA机构有合作，提供CFCA、Symantec、GeoTrust、GlobalSign、RapidSSL以及自有品牌Sanfront等SSL证书，可满足不同行业在数据安全防护和HTTPS改造中的证书需求，并提供从售前咨询、需求分析、产品推荐，到证书申请、应用部署、安全检测提供全流程顾问式服务，证书安装和使用中的问题可以得到及时的技术支持。【点击咨询体验】
推荐阅读：
