在 IIS 上部署 SSL 证书之前，先要把证书导入 Windows 服务器。IIS 最常用的是 PFX/P12 格式，因为这类文件可以同时保存服务器证书和私钥。
如果证书已经是 PFX 格式，直接导入 Windows 证书库即可；如果手里只有 .crt、.cer、.pem 和 .key 文件，则需要先确认私钥是否匹配，并将证书和私钥合并成 PFX。
导入成功以后，再到 IIS 网站的 HTTPS 绑定中选择这张证书。
一、IIS导入证书前，先确认PFX里有没有私钥
这是很多人第一次部署 IIS 证书时容易忽略的一点。
SSL 证书本身只有公钥信息，IIS 要提供 HTTPS 服务，还必须拿到与证书匹配的私钥。所以，如果 CA 下载下来的是单独的 .cer 或 .crt 文件，不能简单地把它当成 PFX 导入。
比较常见的文件组合是：
www.example.com.crt
www.example.com.key
这种情况下，需要把证书和私钥合并生成 PFX。
如果 CA 已经提供：
www.example.com.pfx
并且同时给出了 PFX 密码，一般就可以直接进入 IIS 导入步骤。
如果对证书格式、证书类型以及不同服务器的部署方式还不熟悉，可以先看 SSL证书类型怎么分？ 和 SSL证书安装与部署。
还有一个容易混淆的问题：**PFX 里可以包含中间证书，但不代表所有 PFX 都已经打包了完整证书链。**因此导入 PFX 后，仍然建议检查服务器实际发送的证书链。
二、通过IIS管理器导入PFX证书
对于普通 IIS 网站，这是最简单的导入方式。
先登录 Windows Server，按 Win + R，输入：
inetmgr
打开 IIS 管理器。
然后在左侧找到服务器名称，点击最顶层的服务器节点。
在中间的功能列表中找到：
服务器证书（Server Certificates）
双击打开。
在右侧“操作”中点击：
导入...
然后填写：
- 证书文件：选择
.pfx或.p12文件 - 密码：填写 PFX 对应的密码
- 证书存储：选择“个人（Personal）”
“允许导出此证书”是否勾选，需要根据实际情况决定。
如果这台服务器以后还需要把证书迁移到其他 IIS 节点，可以考虑允许导出；如果证书只在当前服务器使用，则没必要为了方便迁移而增加私钥导出的可能性。
点击确定以后，如果导入成功，可以在“服务器证书”列表里看到证书。
重点看几个信息：
- 颁发给（Issued To）
- 颁发者（Issued By）
- 到期时间
- 是否包含私钥
确认这些信息没有问题，再进入网站绑定。
三、如果IIS里导入不了，可以用MMC检查证书
IIS 的“服务器证书”功能适合日常部署，但遇到证书库、私钥或者中间证书的问题时，直接打开 Windows 的证书管理工具会更方便。
按：
Win + R
输入：
mmc
打开 Microsoft 管理控制台。
选择：
文件 → 添加/删除管理单元
找到：
证书
点击“添加”。
这里要特别注意，服务器证书应选择：
计算机账户
而不是“我的用户账户”。
然后进入：
证书（本地计算机） → 个人 → 证书
这里就是 IIS 经常使用的计算机级个人证书存储区。
右键“证书”，选择：
所有任务 → 导入
然后按照证书导入向导选择 PFX 文件。
这种方法最大的好处是：可以直接看到证书到底有没有私钥，以及证书被放到了哪个证书存储区。
中间证书放在哪里？
如果 CA 单独提供了中间证书，例如：
intermediate.crt
可以通过 MMC 导入到：
证书（本地计算机） → 中间证书颁发机构 → 证书
这里需要注意，不要把中间证书随便丢进“个人”存储区。
如果部署完成后部分客户端仍然提示“不受信任”或证书链错误，可以按照 如何修复SSL证书错误？ 的方法检查证书链。
四、IIS导入PFX证书时提示密码错误怎么办？
这是 IIS 证书导入过程中比较常见的问题。
如果确认 PFX 密码没有输错，却仍然提示：
指定的网络密码不正确
或者类似的导入失败信息，不要马上认定就是密码错了。
一个比较常见的原因是 PFX 使用的加密方式与当前 Windows Server 的证书组件不兼容。
尤其是老版本 Windows Server，如果 PFX 是通过较新的 OpenSSL 环境生成的，可能遇到这种情况。
怎么处理？
重新生成 PFX 时，使用兼容旧版 Windows 的方式导出。
例如在需要兼容旧系统的情况下，可以考虑使用 Legacy 模式，并采用兼容性更好的 PFX 加密方式。
如果同一个 PFX：
- 在新版本 Windows 上可以导入；
- 在旧版 Windows Server 上一直提示密码错误；
那么优先检查 PFX 的加密算法，而不是反复输入密码。
五、PFX导入成功，但IIS里找不到这张证书
这种情况也比较典型。
最常见的问题是：
证书没有对应的私钥。
比如你拿到的是：
example.com.cer
直接通过 MMC 导入以后，Windows 可以看到证书，但 IIS 的 HTTPS 绑定列表中却找不到。
原因就在这里。
.cer 只是证书文件，本身不包含私钥。
如果申请证书时 CSR 是在 IIS 服务器上生成的，那么对应私钥一般已经保存在当初生成 CSR 的服务器证书库中。此时需要正确完成证书响应文件与原 CSR 的关联，而不是简单地把 .cer 当成一张独立证书导入。
如果证书和私钥原本就是分开的 .crt + .key，则需要重新合并为 PFX。
**判断 IIS 是否真正拿到了私钥，可以在 Windows 证书管理器中打开证书详情。**如果证书对应私钥存在，Windows 通常会显示相应的私钥标识。
六、证书导入成功后，还要绑定到IIS网站
证书导入只是第一步。
打开 IIS 管理器，找到目标网站，选择：
编辑绑定 → 添加
配置：
类型：HTTPS
端口：443
主机名：www.example.com
SSL证书：选择刚刚导入的证书
如果同一个 IP 上运行多个 HTTPS 网站，则需要根据站点情况启用 **SNI（服务器名称指示）**，让 IIS 根据访问域名选择对应的证书。
完成绑定以后，再访问：
https://www.example.com
确认 HTTPS 是否正常。
如果需要完整了解 IIS 的 HTTPS 绑定、SNI 以及 HTTP → HTTPS 跳转，可以参考 SSL证书安装与部署。
七、导入新证书时，需要删除旧证书吗？
一般不需要。
例如原来的证书还有一个月到期，现在已经签发了新的证书。
直接把新的 PFX 导入 Windows Server。
此时证书库里可以同时存在：
旧证书
新证书
然后打开 IIS 网站的 HTTPS 绑定，把：
SSL证书
切换成新证书。
确认新证书已经正常使用以后，旧证书可以暂时保留一段时间，不需要为了“更新证书”而先删除旧证书。
这样做反而更安全。如果新证书部署出现问题，还可以快速切回旧证书。
八、IIS证书导入完成后，检查这几个地方
证书显示在 IIS 的“服务器证书”列表中，并不代表整个 HTTPS 部署已经完成。
建议至少检查以下几项。
1. 域名是否匹配
确认当前访问域名存在于证书 SAN 中。
例如访问：
www.example.com
证书就必须覆盖 www.example.com。
2. 私钥是否存在
证书必须与对应私钥匹配，否则 IIS 无法正常完成 HTTPS 服务。
3. 中间证书是否完整
服务器需要向客户端提供正确的证书链。
4. 443端口是否开放
Windows 防火墙、云服务器安全组、负载均衡等设备都可能影响 443 访问。
5. HTTPS是否真的使用了新证书
更新证书以后，不要只看 IIS 里的证书列表。
直接打开网站查看浏览器实际拿到的证书，确认颁发者、有效期和域名都是新证书的信息。
IIS证书导入常见问题
IIS导入PFX一定要选择“个人”吗？
对于普通 IIS HTTPS 网站，选择计算机账户下的“个人（Personal）”存储区即可。
如果服务器使用特定的证书管理策略，也可能使用 Windows 提供的其他证书存储区，但普通网站没有必要复杂化。
免费SSL证书能不能导入IIS？
可以。
Let's Encrypt 等 CA 签发的证书同样可以部署到 IIS。只要最终得到包含私钥的 PFX/P12 文件，就可以按照相同方式导入。
如果使用 ACME 工具，还可以自动完成申请、续期以及 IIS 证书更新。具体可以参考 免费SSL证书是什么？怎么申请？。
IIS导入证书后还需要重启服务器吗？
一般不需要。
证书导入后，修改对应网站的 HTTPS 绑定即可。更新证书时也没有必要为了换证书而重启整个 Windows Server。
IIS证书导入后浏览器提示证书不受信任怎么办？
先不要重新导入证书。
检查：
- 当前网站实际使用的是不是这张证书；
- 域名是否匹配；
- 证书是否已经过期；
- 中间证书链是否完整；
- 客户端是否信任对应根证书。
如果服务器端证书链存在问题，可以进一步查看 如何修复SSL证书错误？。
京公网安备11010502031690号
网站经营企业工商营业执照
