CDN支持HTTPS加速服务,您可以上传自定义证书或将托管在阿里云SSL证书服务的证书部署至CDN平台,实现全网数据加密传输。如果您未配置HTTPS证书,可以根据本文配置HTTPS证书;如果您已经配置了HTTPS证书,可以根据本文更新证书或重新进行批量配置,覆盖原有证书信息。

前提条件

配置HTTPS证书前,您需要先购买证书,您可以在SSL证书服务控制台快速申请免费的证书或购买高级证书。

背景信息

目前CDN仅支持PEM格式的证书。如果您的证书不是PEM格式,请进行格式转换。操作方法,请参见证书格式转换方式
说明
  • CRT后缀文件是Certificate的简称,可能是PEM编码格式,也可能是DER编码格式。进行证书格式转换前请仔细确认您的证书格式是否需要转换。
  • PEM(Privacy Enhanced Mail)一般为文本格式,以 “-----BEGIN ***-----”开头,以 “-----END ***-----结尾”,中间的内容是Base64编码。这种格式可以保存证书和私钥,为了区分证书与私钥,一般会将PEM格式的私钥后缀改为.key

HTTPS功能为增值服务,开启HTTPS将产生HTTPS请求数计费,该费用单独按量计费,不包含在CDN流量包内。HTTPS计费介绍,请参见增值服务计费

根据认证级别不同,证书分类如下:
  • DV(Domain Validation):仅认证域名所有权通常是验证域名下指定文件内容,或者验证与域名相关TXT记录,显示明显的安全锁。
  • OV(Organization Validation):验证企业组织真实性的标准型SSL证书,比DV SSL证书更安全可信、审核更严格、审核周期也更长。一般多用于电商、教育、游戏等领域。
  • EV(Extended Validation):CA/Browser Forum指定的全球统一标准,通过证书Object Identifier(OID)来识别,显示完整企业名称,是目前全球较高等级的SSL证书,多用于金融支付、网上银行等领域。
说明 CDN的HTTPS证书不支持3DES算法。

操作步骤

  1. 登录CDN控制台
  2. 在左侧导航栏,选择安全防护 > 证书服务
  3. 证书服务页面,单击配置证书
  4. 配置证书面板,配置证书相关参数。
    证书
    参数 说明
    证书来源
    • 云盾(SSL)证书中心

      您可以在SSL证书服务控制台快速申请各种品牌及各种类型证书。

    • 自定义上传(证书+私钥)
      如果证书列表中无当前适配的证书,您可以选择自定义上传。您需要在设置证书名称后,上传证书内容和私钥,该证书将会在阿里云云盾的证书服务中保存。您可以在我的证书中查看。
      说明 上传自定义上传(证书+私钥)类型的证书时,如果提示证书重复,您可以修改证书名称后再重新上传。
    • 自定义上传(证书)

      如果证书列表中无当前适配的证书,您可以选择自定义上传。自定义上传(证书)适合不希望自助上传私钥的用户,您需要在CDN证书服务中申请CSR文件后前往CA机构申请证书。具体操作,请参见CSR生成工具

    • 免费证书
      免费证书只适用于HTTPS安全加速业务,因此您无法在阿里云云盾控制台管理该证书,也无法查看到公钥和私钥。
      • 免费证书通常会在1~2个工作日签发。等待期间,您也可以重新选择上传自定义证书或云盾证书。
        说明 根据CA中心审核流程,您申请的证书有可能会在几个小时内完成签发,也有可能需要2个工作日才完成签发,都属于正常现象,请您耐心等待即可。
      • 免费证书有效期为1年,在您使用过程中,如果关闭了HTTPS安全加速,当再次开启使用免费证书时,将直接使用已申请但未过期的证书。若开启时证书已过期,您需要重新申请免费证书。
        说明 免费证书的申请和续签需要遵循如下规则:
        • 加速域名需要正确配置CNAME。CNAME详细配置,请参见配置CNAME
        • 加速域名的DNS记录中不能有CAA记录。
        • 免费证书仅能保护当前加速域名,www域名申请免费证书会自动绑定顶级域名,所以需要将顶级域名的CNAME解析至阿里云CDN。
        • 免费证书有效期为1年,生效之后加速域名的SSL Labs安全等级为A,到期前七天未自动续签成功,需要您手动更新证书。
        • 免费证书不支持泛域名申请。
        • 需要授权阿里云代申请免费证书。

    云盾(SSL)证书中心自定义上传(证书+私钥)自定义上传(证书)免费证书之间可以相互切换。

    证书名称 证书来源选择云盾(SSL)证书中心自定义上传(证书+私钥)时,需要配置证书名称。
    证书(公钥) 证书来源选择自定义上传(证书+私钥)自定义上传(证书)时,需要配置该参数。配置方法请参见证书(公钥)输入框下方的pem编码参考样例
    私钥 证书来源选择自定义上传(证书+私钥)时,需要配置该参数。配置方法请参见私钥输入框下方的pem编码参考样例
  5. 单击下一步
  6. 选择与证书关联匹配的域名。
    说明
    • 如果您选择的域名已经部署了证书,本次操作会覆盖已有证书。
    • 云盾(SSL)证书中心证书、自定义上传(证书+私钥)证书和自定义上传(证书)均可通过证书与域名的关联关系进行批量部署和更新,免费证书只支持单个域名进行部署和更新。
    关联域名
  7. 单击确定,即可完成证书部署和更新。

后续步骤

更新HTTPS证书1分钟后全网生效。您可以验证证书是否生效,使用HTTPS方式访问资源,如果浏览器中出现锁的HTTPS标识,则HTTPS安全加速生效。验证结果