IIS导入证书时的密码是什么？

IIS 导入证书时的密码是什么？

IIS 导入 PFX 证书时要求输入的密码，就是​生成这个 PFX 文件时设置的保护密码​。

它和 Windows Server 的登录密码、IIS 管理密码都没有关系。

如果不知道这个密码，先确认 PFX 是从哪里来的。不同来源的证书，密码保存位置不一样。

一、PFX 证书密码在哪里？

如果 PFX 是从证书平台下载的，先打开下载的证书压缩包。

有些证书平台会把密码单独放在 password.txt、readme.txt 等文件中，也有平台会在生成 PFX 时直接在网页上显示密码。如果当时没有保存，可以登录证书管理后台，看订单详情中是否还能重新获取或重新生成。

如果 PFX 是自己用 OpenSSL 生成的，那么密码就是执行下面命令时设置的密码：

openssl pkcs12 -export -out certificate.pfx -inkey server.key -in server.crt

执行过程中会出现：

Enter Export Password:

这里输入的内容，就是之后在 IIS 中导入 PFX 时要填写的密码。

如果生成 PFX 时没有设置密码，那么 IIS 导入时可以直接留空。

还有一种情况是从其他 Windows Server 导出的 PFX。这个密码是在原服务器执行证书导出向导时设置的，需要找当时负责导出证书的人确认。 对证书文件结构有疑问也可以了解 什么是SSL证书 的基本知识。

二、PFX 密码忘了还能找回来吗？

PFX 密码本身不能直接重置。

因为 PFX 中包含私钥，密码用于保护其中的私钥数据。忘记密码后，不能像修改 Windows 用户密码一样直接把它改掉。

但这并不意味着证书就不能用了，关键看原来的私钥还在不在。

原始 .key 私钥还在

这种情况最好处理。

原来的证书和私钥都还在的话，不需要重新购买证书，也不需要重新签发。直接重新生成一个 PFX，并设置一个新的密码即可。

例如：

openssl pkcs12 -export \
-out new_cert.pfx \
-inkey server.key \
-in server.crt

重新输入一个新的密码后，就可以把生成的 new_cert.pfx 导入 IIS。

如果证书还有中间证书，也需要根据 CA 提供的证书链一起打包，避免导入后出现证书链不完整的问题。

.key 私钥也没有了

这时候就不能靠原来的 PFX 解决了。

如果原来的 PFX 密码又忘记了，而服务器上也没有保存私钥，就无法从 PFX 中直接拿回私钥。

比较直接的办法是登录证书签发平台重新生成 CSR 和私钥，然后申请重新签发（Reissue），再下载新的 IIS/PFX 证书。

三、密码正确，IIS 还是提示“密码不正确”怎么办？

这个问题在旧版 Windows Server 上比较容易碰到。

如果确认 PFX 密码没有输错，但 IIS 仍然提示：

指定的密码不正确

先不要急着重新设置密码。

有一种情况是 ​PFX 本身的加密参数与当前 Windows Server 的兼容性不好​。尤其是使用较新的 OpenSSL 版本生成 PFX，再拿到较旧的 Windows Server 环境中导入时，可能出现这种情况。

可以重新导出一个兼容模式的 PFX。

OpenSSL 3.x 可以尝试：

openssl pkcs12 -legacy -export \
-out legacy_cert.pfx \
-inkey server.key \
-in server.crt

然后使用新的 legacy_cert.pfx 再导入 IIS。

如果这样可以正常导入，基本就可以确定问题不在密码本身，而是 PFX 格式或加密参数的兼容性。

四、PFX 导入成功，但 IIS 找不到这张证书

还有一种情况比较容易被忽略：

PFX 能导入，但网站绑定时，在“SSL 证书”下拉框里找不到。

先检查证书是不是导入到了本地计算机的证书存储区，而不是当前用户的证书存储区。

IIS 使用的是计算机级别的证书存储。

可以通过 mmc 检查：

1. 按 Win + R，输入 mmc。
2. 点击“文件 → 添加/删除管理单元”。
3. 添加“证书”管理单元。
4. 选择“计算机账户”。
5. 进入：

证书
└─ 个人
   └─ 证书

找到刚刚导入的证书，查看证书图标上是否带有​私钥标识​。

如果证书没有对应私钥，IIS 也无法正常用于 HTTPS 绑定。

五、IIS 导入 PFX 时几个容易搞错的地方

PFX 密码不是 Windows 密码

这是最常见的误区。

IIS 弹出的密码框针对的是 PFX 文件本身，不需要输入服务器管理员密码。

忘记 PFX 密码，不代表必须重新申请证书

只要原来的 .key 私钥还在，就可以重新生成 PFX。

真正麻烦的是证书和私钥都只剩下一个加密 PFX，而 PFX 密码又完全丢失的情况。

PFX 能导入，不代表证书链一定完整

PFX 可能只包含服务器证书和私钥，也可能同时包含中间证书。

部署完成后，最好再检查服务器实际发送的证书链。如果客户端出现“不受信任”“证书链不完整”等问题，再检查中间证书配置。

如果绑定后客户端访问提示信任或链异常，可参考 修复SSL证书错误 的方法进行排查。后续如果要把网站原有的 HTTP 流量全量重定向到加密连接，可继续参考 网站启用HTTPS 的实践方案。

常见问题

Q：IIS 导入 PFX 时密码为空，可以直接导入吗？

可以。如果生成 PFX 时没有设置导出密码，导入时可以直接留空。但生产环境不建议为了省事而使用没有密码保护的 PFX 文件，尤其是证书文件需要在服务器之间传输时。

Q：PFX 密码忘记了，但证书还没过期怎么办？

先找原始 .key 私钥。如果私钥还在，直接重新生成 PFX 即可；如果私钥也丢失，则需要联系证书签发平台重新签发。

Q：IIS 提示 PFX 密码错误，一定是密码错了吗？

不一定。旧版 Windows Server 与较新的 PKCS#12/PFX 加密参数存在兼容性问题时，也可能出现类似提示。可以先用 openssl pkcs12 -legacy 重新生成 PFX 再测试。