IIS7/IIS8如何安装SSL证书？

IIS7/IIS8如何安装SSL证书？

在 Windows Server 2008 R2 的 IIS 7/7.5，以及 Windows Server 2012/2012 R2 的 IIS 8/8.5 上安装 SSL 证书，主要就是两步：先将带私钥的 PFX/P12 证书导入服务器，再把证书绑定到网站的 HTTPS/443 端口。

如果一台服务器上只有一个 HTTPS 网站，配置相对简单；如果同一个 IP 上运行多个 HTTPS 网站，则需要重点检查 ​SNI 和主机名绑定​。

IIS7/IIS8安装SSL证书前需要准备什么

IIS 使用的证书文件与 Nginx、Apache 有些区别。

Nginx 一般会分别配置证书文件和私钥文件，而 IIS 更适合使用已经包含私钥的 ​PFX 或 P12 文件​。

安装前准备好：

• .pfx 或 .p12 格式的 SSL 证书；
• PFX 文件对应的导入密码；
• Windows Server 管理员权限；
• 已经解析到服务器 IP 的网站域名。

如果证书平台提供多个下载格式，选择 IIS 格式一般就可以直接得到 PFX 文件。

如果手里只有 .crt、.cer、.pem 和 .key 文件，需要先将证书和私钥合并成 PFX，再进行 IIS 导入。

如果还不清楚证书文件之间的区别，可以先看 什么是SSL证书。

将PFX证书导入Windows Server

这是 IIS 安装 SSL 证书的第一步。

1. 按 Win + R，输入 inetmgr，打开 ​IIS 管理器​。
2. 在左侧“连接”中点击最上面的服务器名称。
3. 在中间的功能列表中找到 ​服务器证书​，双击打开。
4. 在右侧“操作”区域点击 ​**导入...**​。
5. 在导入窗口中选择 PFX 文件，并输入对应密码。
6. 证书存储区选择 ​个人​，然后点击确定。

导入成功后，可以在“服务器证书”列表看到证书的主题、颁发者和有效期。

这里有一个容易忽略的问题：PFX 必须包含与服务器证书匹配的私钥。

如果导入的是只有公钥的 .cer 或 .crt 文件，即使证书本身没有问题，IIS 也无法把它用于 HTTPS 绑定。

如果导入时提示密码错误

不要马上认定是密码输错了。

如果密码确认无误，但 Windows Server 2008 R2、2012 等旧系统仍提示“指定的密码不正确”，可以检查 PFX 文件的加密方式。

较新的 OpenSSL 版本生成 PKCS#12/PFX 文件时，可能使用旧版 Windows 不支持的加密算法。可以重新导出一个兼容旧系统的 PFX，例如：

openssl pkcs12 -legacy -export -out legacy.pfx -inkey server.key -in server.crt

然后使用新的 PFX 文件重新导入。

如果 PFX 密码本身已经遗失，需要先确认原始 .key 私钥是否还在。保留私钥的情况下，可以重新打包 PFX，不需要重新申请证书。

在IIS网站中绑定SSL证书

PFX 导入成功后，还需要把证书分配给具体的网站。

1. 在 IIS 左侧展开 ​网站​。
2. 找到需要配置 HTTPS 的网站。
3. 点击右侧 ​**绑定...**​。
4. 在“网站绑定”窗口点击 ​**添加...**​。
5. 按下面的参数填写：

设置完成后点击“确定”。

例如网站访问地址是：

https://www.example.com

那么主机名就填写：

www.example.com

证书也需要包含这个域名，否则访问时会出现证书名称不匹配。

IIS配置多个HTTPS网站时要不要开启SNI

这是 IIS 部署证书时最容易搞混的地方。

如果服务器只有一个 HTTPS 网站，SNI 并不是必须配置的。

如果多个网站共用同一个 IP 和 443 端口，例如：

• www.example.com
• www.test.com
• www.demo.com

那么就需要通过 SNI（Server Name Indication） 区分不同域名对应的证书。

在支持 SNI 的 IIS 版本中，添加 HTTPS 绑定时：

• 填写对应的主机名；
• 勾选 ​**需要服务器名称指示（SNI）**​；
• 为每个网站选择对应证书。

需要注意的是，​SNI 与证书类型没有关系​。单域名、多域名、通配符证书都可以用于 IIS，关键在于网站绑定方式和证书 SAN 是否覆盖实际访问域名。

IIS 证书绑定完成后，如果还需要配置 HTTP 自动跳转 HTTPS，可以继续参考 SSL证书安装与部署。

IIS绑定证书后如何测试

证书绑定完成后，不建议马上配置 301。

先直接访问：

https://你的域名

确认 HTTPS 本身没有问题，再进行 HTTP → HTTPS 跳转。

重点检查以下几项。

1. 证书是不是正确的那一张

打开浏览器的证书查看界面，确认：

• 域名是否匹配；
• 有效期是否正确；
• 颁发者是否正确；
• 是否是刚刚导入的新证书。

如果访问的是新证书，但浏览器拿到的却是旧证书，重点检查 IIS 的 HTTPS 绑定以及服务器前面是否还有 CDN、负载均衡或反向代理。

2. 证书链是否完整

如果 Windows 服务器访问正常，但部分手机或其他客户端提示“不受信任”，需要检查中间证书链。

服务器端应该正确配置 CA 提供的中间证书，不能把希望完全寄托在客户端自动补链上。

3. 443端口是否开放

如果 HTTPS 完全无法连接，先不要继续修改证书。

检查：

• Windows 防火墙；
• 云服务器安全组；
• 上游防火墙；
• 443 端口监听；
• DNS 是否解析到了正确的服务器。

证书配置正确，并不意味着 443 一定能够从公网访问。

IIS7/IIS8常见SSL证书问题

IIS中找不到刚导入的证书

首先检查证书是否包含私钥。

可以使用 mmc 查看：

1. Win + R 输入 mmc；
2. 添加“证书”管理单元；
3. 选择“计算机账户”；
4. 进入 ​个人 → 证书​；
5. 找到对应证书。

如果证书带有私钥关联，才能用于 IIS 的服务器身份认证。

如果只有证书，没有私钥，需要重新使用原始 .key 文件生成 PFX。

浏览器提示证书名称不匹配

检查访问域名是否包含在证书的 SAN 中。

例如证书只包含：

example.com

并不代表：

www.example.com

一定可以使用。

如果网站同时使用裸域名和 www 域名，应确认两个域名都在证书覆盖范围内，或者分别配置对应证书。

浏览器提示证书不受信任

重点检查：

1. 证书是否由客户端信任的 CA 签发；
2. IIS 是否发送完整的中间证书链；
3. 是否安装了错误的中间证书；
4. 是否部署了旧证书或错误证书。

遇到这类问题，可以继续参考 如何修复SSL证书错误。

常见问题 FAQ

Q：IIS7和IIS8安装SSL证书的方法有什么区别？

A：基本流程没有区别，都是先将带私钥的证书导入 Windows 证书库，再在 IIS 网站绑定中配置 HTTPS。主要区别在于 IIS 版本对 SNI 等功能的支持情况。如果服务器需要在同一 IP 上运行多个 HTTPS 网站，需要结合具体 IIS 版本检查 SNI 支持。

Q：PFX证书导入IIS时提示密码错误怎么办？

A：先确认输入的是 PFX 文件的导出保护密码，而不是 Windows 登录密码。如果密码确认无误，仍然导入失败，可以检查 PFX 的加密方式。旧版 Windows Server 可能无法识别较新的 PKCS#12 加密算法，可以重新以 Legacy 兼容模式导出 PFX。

Q：IIS导入证书后为什么在HTTPS绑定里找不到？

A：最常见的原因是证书没有关联私钥，或者证书没有正确导入到本地计算机的证书存储区。使用 MMC 检查“计算机账户 → 个人 → 证书”，确认对应证书已经关联私钥。

Q：IIS安装新证书需要删除旧证书吗？

A：不需要。新证书可以直接导入 Windows 证书库，然后在网站 HTTPS 绑定中切换到新证书。确认新证书已经正常使用后，再根据证书生命周期和服务器管理策略清理旧证书即可。

IIS7/IIS8 安装 SSL 证书的核心并不复杂：​准备带私钥的 PFX → 导入 Windows 证书库 → 创建 HTTPS/443 绑定 → 选择对应证书 → 测试 HTTPS​。

真正容易出问题的是 PFX 私钥缺失、旧版 Windows 与新 PFX 加密算法不兼容、证书 SAN 不匹配以及多站点 SNI 配置。

排查时按照“证书文件 → 私钥 → IIS绑定 → 证书链 → 443端口”的顺序检查，比反复重启 IIS 更有效。