hero-faq-1

常见问题

全部 Certificate Key Matcher CPAC CSR 生成器 CSR 生成教程 CSR 解码器 IP 地址 S/MIME 一般情况 业务验证 代码签名 企业社会责任代码 变化 多域 安装 扩展验证 数字证书 更新 私钥 类型 续订 证书颁发机构 通配符 配置 领域验证
生成CSR需要多长时间？

只需几秒钟。提交表单后系统会立即生成请求，并显示在本页面上。真正需要花时间的是证书本身的验证过程，这一过程在您下单之后进行。域名验证型证书通常在几分钟内颁发，而组织验证型和扩展验证型证书可能需要数天时间。

复制链接

PKCS#10是什么？

PKCS#10 是定义 CSR 格式的标准,规定于 RFC 2986 中。它规定了证书申请包含哪些字段以及这些字段的结构方式,这正是为什么同一个 CSR 可以用于任何证书颁发机构(CA),而不是只能绑定在您购买证书的那家 CA 上。

复制链接

为什么我签发的证书中缺少OU字段？

因为该字段已不再被允许使用。CA/Browser论坛的SC47提案规定，自2022年9月1日起，公开信任的TLS证书中禁止包含Organizational Unit（组织单位）字段，原因是CA无法可靠地验证部门名称的真实性。您在生成CSR时仍然可以填写OU字段，解码器也会显示该内容，但CA在签发证书前会将其移除。这属于正常情况，并非出现错误。

复制链接

主题备用名称（Subject Alternative Name）是什么，为什么它比通用名称（Common Name）更重要？

Subject Alternative Name（SAN，主题备用名称）是一种扩展字段，用于列出证书涵盖的所有主机名。现代浏览器只读取 SAN 列表，完全忽略 Common Name（通用名称），因此如果某个域名只出现在 Common Name 中而不在 SAN 列表里，验证就会失败。大多数公共 CA 在签发证书时会自动将 Common Name 复制到 SAN 列表中，但请向您的 CA 确认这一点，而不要仅凭假设行事。如果您需要在一张证书上使用多个主机名，请将它们全部列出。

复制链接

如何为SSL证书验证域名？

系统接受三种验证方法：包含CA提供值的DNS记录、上传到服务器上/.well-known/pki-validation/路径的文件，或发送到该域名五个受信任邮箱地址之一的验证链接。DNS和HTTP是持久有效的验证方式。根据CA/浏览器论坛SC-090号提案，基于邮件的验证方式将于2028年3月被淘汰。

复制链接

这适用于任何类型的SSL证书吗？

是的。DV、OV、EV、通配符和多域名证书都采用相同的 X.509 结构，因此它们的转换方式完全一致。验证级别改变的只是证书颁发机构核实的内容，而不是文件格式。

复制链接

我如何知道我的私钥与证书是否匹配？

将两者都粘贴到工具中，然后查看证书与私钥的匹配结果。匹配意味着公钥指纹完全相同；哪怕只有一个字符不同，也说明它们不是配对的。

复制链接

为什么SSL证书自动化变得日益重要？

根据SC-081v3投票案，证书的最长有效期将逐步缩短至200天（2026年3月）、100天（2027年）以及最终的47天上限（2029年）。域名验证的重用期也将按同一时间表缩短至10天。以这样的频率手动续订证书是无法长期维持的。

复制链接

域名验证证书和组织验证证书之间有什么区别？

域名验证型证书仅确认申请者对该域名拥有控制权。而组织验证型证书则会额外核实其背后注册企业的信息,包括名称、地址和注册详情,签发时间通常需要一两个工作日,而不是几分钟。两者的加密强度是相同的,区别在于证书对网站运营者身份的说明程度。

复制链接

我可以转换为Java Keystore（JKS）吗？

此工具不支持此功能。请先在此处创建 PFX 文件，然后使用 Java JDK 中的 keytool 导入它。现代版本的 Tomcat 也可以直接读取 PKCS#12 格式，因此您可能根本不需要 JKS 文件。

复制链接