常见问题

您可以使用
OpenSSL 实用程序
及其命令行验证 SSL 证书和私钥对的完整性。

该过程包括四个步骤：

1. 验证私钥是否被篡改。
2. 验证与私人密钥和 SSL 证书对匹配的模值
3. 成功使用证书中的公开密钥进行加密，并使用私钥进行解密
4. 确认使用私钥签名的文件的完整性

验证私钥的完整性

运行以下命令 openssl rsa -in[key-file .key] -check -noout

下面是一个私钥损坏的例子：

因更改/伪造钥匙导致的其他错误如下：

• RSA 密钥错误：P 不是质数
• RSA 密钥错误：n 不等于 p q
• RSA 密钥错误：d e 与 1 不全等
• RSA 密钥错误：dmp1 与 d 不全等
• RSA 密钥错误：iqmp 不是 q 的倒数

如果遇到上述错误，说明你的私钥被篡改，可能无法与公钥一起使用。 考虑创建新的私钥并申请更换证书。

下面是一个符合完整性要求的私人密钥示例：

验证与私人密钥和 SSL 证书对匹配的模值

如果您不想运行这些命令，可以将两个文件粘贴到证书密钥匹配器中，直接查看结果。

注意

私钥和证书的模数必须完全匹配。

运行命令查看证书模数：

openssl x509 -noout -modulus -in [certificate-file .cer]

运行命令查看私钥模数：

openssl rsa -noout -modulus -in [key-file .key]

用公钥加密，用私钥解密

1. 从证书中 获取 公开密钥：

openssl x509 -in[certificate-file .cer] -noout -pubkey> certificatefile.pub.cer

2.使用公开密钥加密 test.txt 文件内容

创建一个名为 test.txt 文件的新文件（可以使用记事本），内容为 “信息测试”。 执行以下命令为 cipher.txt 文件创建加密信息。

openssl rsautl -encrypt -in test.txt -pubin -inkey certificatefile.pub.cer -out cipher.txt

3.使用私钥解密 cipher.txt
执行以下命令解密 cipher.txt 内容。

openssl rsautl -decrypt -in cipher.txt -inkey [key-file .key]

确保可以在终端上解密 cipher.txt 文件内容。 终端输出的内容必须与 test.txt 文件中的内容一致。

如果内容不匹配，说明私钥被篡改，可能无法与你的公钥一起使用。 考虑创建新的私钥并申请更换证书。 下面是一个解密信息的例子：

4.确认使用私钥签署的文件的完整性

运行以下命令，用私钥签署 test.sig 和 test.txt 文件：

openssl dgst -sha256 -sign[key-file .key] -out test.sig test.txt

现在，用从步骤 1 提取的公钥验证签名文件。

openssl dgst -sha256 -verify certificatefile.pub.cer -signature test.sig test.txt

确保终端输出与下面的示例完全一致：

如果您的私人密钥被篡改，您将收到以下信息：

在这种情况下，你应该创建一个新的私钥并申请更换证书。

来源：Digicert 知识库Digicert 知识库

复制链接

在服务器的~/public目录中，您可能会发现.well-known文件夹。 众所周知的 URI 是统一资源标识符，代表众所周知的服务或信息，可通过 URL 在各服务器上统一使用。

有些服务器会自动创建.well-known 文件夹，但有时可能需要手动添加。 该目录作为一种基于网络的协议，可在提出请求前获取主机的站点元数据。

.well-known 文件夹有什么用途？

在订购 SSL 证书时，您必须证明域名所有权，这是 DCV 的一部分。 如果选择HTTP/HTTPS 方法，则必须创建.well-known目录，您必须在该文件夹中上传 TEXT 文件，以便 CA 扫描并批准您的 SSL 请求。

文件应可通过实时网站链接访问。 添加验证文件后，CA 爬虫系统将扫描您的网站并查找该文件。 一旦找到它，你应该能在几分钟内通过域名验证。

复制链接

要创建 .well-known 文件夹，您需要通过 SFTP 客户端、虚拟主机控制面板或其他适当方式访问服务器。下面介绍如何在最流行的平台上创建 .well-known 文件夹：

如何在基于 Linux 的服务器上创建 .well-known 文件夹？

以下说明适用于 Ubuntu、Debian 和 CentOS 服务器。

1. 进入网站根目录
2. 创建一个名为”.wide “的目录
3. 在其中创建另一个名为 “pki-验证 “的文件夹
4. 在 “pki-验证 “目录下上传 TXT 文件

如何在 cPanel 中创建 .well-known 文件夹？

1. 登录 WHM，如果没有 WHM，请跳过此步骤
2. 找到并登录域名的 cPanel 账户
3. 点击 “文件管理器
4. 选择 “Web Root (public_html/www) “选项，然后点击 “Go”。
5. 创建名为 .well-known 的新文件夹
6. 在该文件夹内创建另一个文件夹，名为：PKI-验证
7. 在 pkii-validation 文件夹中上传 TXT 文件

如何在 Plesk 中创建 .well-known 文件夹？

1. 使用 “文件管理器“选项，进入右侧菜单的 “文件 “部分。
2. 您应在域的默认文档根文件夹（在 Plesk 中为httpdocs）中创建.well-known 文件夹。
3. 要创建文件夹，请选择新建， 然后创建目录。
4. 在.well-known 文件夹中创建pkii-validation 子文件夹。
5. 使用上传 按钮将验证 TXT 文件添加到pkii-validation文件夹中。

如何在 Windows IIS 服务器中创建 .well-known 文件夹？

基于 Windows 的服务器不允许在文件夹名称中加点，因此需要按照以下步骤操作：

1. 转到 C: 驱动器
2. 新建一个名为 “众所周知 “的文件夹
3. 在众所周知的文件夹内，创建另一个名为 pkii-validation 的文件夹。
   到目前为止，您的文件夹应该是这样的C:well-knownpkii-validation
4. 上传 pkii-validation 文件夹中的 TXT 文件
5. 打开服务器上的 IIS 管理器
6. 右键单击网站，选择添加虚拟目录
7. 在别名部分写上 .well-known
8. 在心理路径区域输入知名文件夹的路径。 例如
   C:知名
9. 按 “确定 “创建该别名

如何在 WordPress 中创建 .well-known 文件夹？

您可以通过三种不同的方式在 WordPress 中创建 .well-known 文件夹。

1. 使用特殊插件
2. 通过网络托管面板
3. 通过 SFTP 客户端，如 FileZilla

我们不建议使用插件，因为长期使用可能会导致兼容性和安全问题。相反，请使用我们上面的说明在 cPanel（最常用的主机面板）中创建 .well-known 文件夹。

如果没有 cPanel，请使用 SFTP 客户端。 连接到服务器，在~/public文件夹中查找 .wellknwon 目录。如果没有，请右键单击公共文件夹，选择创建目录， 并将新目录命名为 .well-knownwon。

如何在 AWS 中创建 .well-known 文件夹？

1. 使用 bash 命令在 AWS EC2 实例中创建 .well-known.folder 文件夹：
   mkdir -p .well-known/pkii-validation
2. 将验证文件放到 pkii-validation 子文件夹中：
   nano .well-known/pkii-validation/HashFileName.txt

如何在 macOS X Server 中创建 .well-known 文件？

通过内置 FTP 客户端或命令行界面连接到服务器。

文件传输协议

1. 按Command+K
2. 在连接到服务器窗口中，输入 FTP 服务器的地址。 例如，ftp://ftp.yourdomain.com。 点击连接。
3. 然后，输入 FTP 用户名和密码，再次点击连接。
4. 查找域名的根目录。
5. 创建名为.well-known的目录
6. 内部。 知名文件夹，创建另一个名为pkii-validation的文件夹。
7. 上传 pkii-validation 目录内的 TXT 文件

命令行界面

您可以使用 SSH 和安全复制协议上传 TXT 文件。

scp AC3E5D6I8G12935LSJEIK.txt

your_username@hostname:tld://Library/WebServer/Documents/.well-known/pki-validation

其中，”AC3E5D6I8G12935LSJEIK.txt “是验证文件名，”your_username “是服务器账户的用户名，”hostname.tld “是 Mac OSX 服务器主机名，”/Library/WebServer/Documents/”是文档根文件夹的默认目录。

对于所有服务器类型，如果您的操作正确无误，您应该可以打开以下 URL，并在任何网页浏览器中看到哈希代码和 “comodoca.com”：

http://mywebsite.com/.well-known/pki-validation/HashFileName.txt

复制链接

是的，您可以使用我们的 CSR解码工具查看您的CSR 包含哪些信息。 它正在进行与加密相反的过程。

复制链接

立即签发 CSR。 一旦你填写了上面的 SSL CSR 生成器，它就会发给你。

复制链接

无论您是在使用 CSR 生成工具时不小心还是故意输入了错误信息，CSR 和私钥都会立即签发给您。 但是，一旦你使用 CSR 代码申请 SSL 证书，你可能会也可能不会获得 SSL 证书。 如果你输入的有关你和你公司的信息有误，证书颁发机构将全权决定批准或拒绝颁发你的 SSL 证书。

如果您发现在生成 CSR 时输入了错误信息，只需将现有的 CSR 和私钥放在一边、忽略或删除即可。 之后，您应使用有关您本人和贵公司的正确信息生成一个新的 CSR 代码（它也会自动生成一个新的私钥）。 申请 SSL 证书时使用较新的 CSR，然后在网站和服务器上安装 SSL 证书时使用较新的私钥。

复制链接

CSR 包含以下加密信息：国家、州、市/镇、组织名称、组织部门、希望签发 SSL 证书的域名，以及 CSR 代码和私钥生成后将发送到的电子邮件地址。

复制链接

多域通配符 SSL 证书是专为允许用户使用单个 SSL 证书保护多个域和子域而创建的。

注意 #1：任何多域通配符 SSL 证书都应以非通配符域开始。这意味着，无论何时配置和申请多域通配符 SSL 证书，都需要为单个域（如：example.com）生成 CSR（证书签名请求），不含任何星号 “*”。 这是证书颁发机构的要求。 所有附加 SAN（第 2、3、4 个域）都可以是通配符域。

例如，默认情况下有 3 个 SAN（4 个域）的多域通配符 SSL 证书允许您保护以下内容的安全：

1. 一个主域和多个通配符域：
   1. example.com – 包含在 CSR（证书签名请求）中
   2. *.example.com
   3. *.mysite.com
   4. *.abcxyz.com
2. 一个主域和多个通配符域（包括一级和二级子域）：
   1. example.com – 包含在 CSR（证书签名请求）中
   2. *.example.com
   3. *.mob.example.com
   4. *.mysite.com
3. 多个域和多个通配符域（包括一级和二级子域）：
   1. example.com – 包含在 CSR（证书签名请求）中
   2. *.example.com
   3. mysite.com
   4. *.mob.mysite.com

注释 #2：如果添加 SAN 项目（如 *.domain.com），您将保护其无限子域，但不能保护主域。 例如，如果要确保两个域及其所有子域的安全，则必须按以下格式配置 SSL：

1. domain.com – 包含在 CSR（证书签名请求）中
2. *.domain.com
3. mysite.com
4. *.mysite.com

您可以在服务器上添加子域，它们将自动被通配符 SSL 证书覆盖。 在添加子域时，无需每次都重新签发通配符 SSL 证书。 新添加的子域将自动由通配符 SSL 证书覆盖。

复制链接

SSL 证书 “是 “安全套接字层证书 “的缩写。 创建该协议的目的是通过数据加密来保护两台机器之间的数据传输。

互联网上的所有信息基本上都是基于 HTTP 语言（超文本传输协议）的形式从一个地点传输到另一个地点的。 但是，HTTP 本身不受保护，很容易受到互联网骗子和窃贼的攻击。 这就是开发 SSL 证书的原因，以保护在互联网上传输的信息。

您可以通过浏览器中的一些常见标记了解 SSL 证书：挂锁、浏览器标签上的 “HTTPS”（当 HTTP 受 SSL 保护时，它才拥有字母 “S”）。

这些都表明您正在使用的网站采用了 SSL 加密技术，其中的信息可以安全地抵御网络攻击。

复制链接

SSL 证书担保是一种保险，它涵盖因证书缺陷导致的数据泄露或黑客攻击而造成的任何损失。 SSL 保证书的价值从 5,000 美元到 1,500,000 美元不等。 这意味着价值较高的证书有更广泛的保修。

复制链接