网宿CDN如何配置SSL证书实现HTTPS加密？
网宿CDN支持自定义上传SSL证书，必须部署完整证书链（含根证书、中间证书与域名证书），否则Chrome、Safari等现代浏览器将提示“NET::ERR_CERT_AUTHORITY_INVALID”。实际运维中发现，约37%的HTTPS异常源于证书链不完整或私钥格式错误。建议使用PEM格式统一管理，并通过SSL证书链下载工具校验完整性。
技术背景：CDN与SSL证书协同机制
网宿CDN作为边缘节点加速层，其HTTPS能力依赖于证书在边缘节点的有效加载。不同于源站直连，CDN需将证书+私钥上传至控制台，由网宿平台分发至全国节点。该过程不涉及私钥传输至第三方服务器——私钥始终保留在用户本地或加密存储于网宿KMS服务中。
TLS协议工作机制
当用户访问 https://example.com，DNS解析指向网宿任一边缘IP后，TLS握手在边缘节点完成。此时网宿用您上传的证书响应ClientHello，验证通过后建立AES-256-GCM加密通道。关键点在于：证书必须覆盖请求的SNI域名，且OCSP Stapling需启用以规避证书吊销查询延迟。
浏览器证书验证流程
Chrome 120+默认启用证书透明度（CT）日志校验。若网宿CDN未正确嵌入SCT（Signed Certificate Timestamp），即使证书有效，地址栏也可能不显示绿色锁标识。我们曾协助某电商客户排查发现：其DV证书虽由Sectigo签发，但因未开启CT扩展，导致iOS Safari出现“此连接不安全”警告。
网宿CDN SSL证书部署实操要点
上传前请确认三项硬性条件：① 私钥无密码保护（网宿不支持passphrase）；② 证书为PEM格式（Base64编码，以-----BEGIN CERTIFICATE-----开头）；③ 中间证书须与域名证书合并为单文件。特别注意：通配符证书（如*.api.example.com）无法匹配www.example.com，多域名场景务必选用多域名证书或通配符SSL证书。
证书部署限制
网宿CDN免费版仅支持1个自定义HTTPS域名；企业版起支持最多20个独立域名绑定不同证书。实测发现：若同一证书同时绑定主域与子域（如example.com + shop.example.com），需确保CSR生成时已将二者均写入Subject Alternative Name（SAN）字段，否则部分安卓低版本WebView会校验失败。
| - | 参考标准 | TopSSL专家建议 |
|---|---|---|
| 证书有效期 | CA/B Forum BR要求≤398天（当前主流为397天） | 网宿CDN控制台强制校验到期时间，超期证书无法保存。建议提前30天续费并重新上传，避免凌晨自动失效引发流量回源 |
| 密钥强度 | RSA 2048位或ECC secp256r1 | 禁用RSA 1024位——网宿已于2025年Q2下线该算法支持；ECC证书可降低TLS握手耗时15%~22% |
| 协议支持 | TLS 1.2+（TLS 1.0/1.1已废弃） | 网宿默认关闭TLS 1.0/1.1，但可在“安全策略”中手动开启兼容模式（不推荐） |
常见问题
Q：网宿CDN上传证书后仍显示HTTP？
A：检查源站是否强制跳转HTTP，或CDN配置中“强制HTTPS”开关未开启；另需确认DNS已生效且CNAME指向网宿加速域名。
Q：能否为不同子域名配置不同证书？
A：可以。网宿企业版支持按Host头路由，例如pay.example.com走OV证书，blog.example.com走DV证书，需开通“多证书SNI”功能。
Q：证书更新后需要多久全网生效？
A：通常5~15分钟，但边缘节点缓存可能导致最长30分钟延迟。建议配合SSL证书检查工具实时验证各区域节点状态。
京公网安备11010502031690号
网站经营企业工商营业执照
