网宿CDN如何配置SSL证书实现HTTPS加密？
网宿CDN支持自定义上传SSL证书，必须部署有效的X.509证书链（含根证书、中间证书与域名证书），且私钥需为PEM格式无密码保护。仅当证书链完整、域名匹配、有效期有效时，CDN节点才能向客户端正确协商TLS 1.2+连接。生产环境建议禁用TLS 1.0/1.1，启用OCSP Stapling以降低握手延迟。
网宿CDN的SSL证书部署机制
网宿CDN采用边缘节点证书卸载架构：用户请求经DNS解析至最近边缘节点后，由该节点完成TLS终止。证书必须上传至网宿控制台「域名管理→HTTPS配置」中，系统自动分发至全网节点。不支持直接在源站配置强制HTTPS跳转，所有重定向需在CDN层开启「HTTP强制跳转HTTPS」开关，并指定跳转状态码（推荐301）。
浏览器信任与证书链完整性要求
网宿CDN不自动补全证书链，若上传时仅提供域名证书（.crt）而缺失中间证书，Chrome/Firefox会报NET::ERR_CERT_AUTHORITY_INVALID。必须使用SSL证书链下载工具获取完整链，或手动拼接为单文件（顺序：域名证书 → 中间证书 → 根证书）。实测发现，部分国产CA（如锐安信sslTrus）的国密SM2证书暂未被网宿CDN全量支持，建议优先选用已入根的Sectigo或DigiCert证书。
通配符与多域名证书的兼容性限制
网宿CDN支持通配符SSL证书（如*.example.com），但子域名必须提前在控制台添加并完成CNAME解析；不支持SAN证书中包含IP地址或内网域名（如192.168.1.1）。若需保护www.example.com和api.example.com两个独立主域，必须使用多域名证书而非通配符证书。注意：网宿对SAN数量设限（默认≤100个），超限时需提交工单扩容。
HTTPS性能优化关键配置
启用HSTS（Strict-Transport-Security）头可强制浏览器后续请求直连HTTPS，避免首次HTTP跳转风险；但需确认全站已100%完成HTTPS改造，否则将导致服务不可达。网宿CDN后台支持一键开启HSTS并预加载至Chrome HSTS列表。此外，建议开启「TLS 1.3支持」与「ECC证书优先」策略——实测显示，ECC证书比RSA 2048握手快约35%，尤其利于移动端弱网环境。若使用通配符SSL证书，其私钥建议采用ECDSA P-256算法，兼顾安全性与性能。
常见问题
Q：网宿CDN上传证书后，为什么浏览器仍提示“连接不安全”？
A：90%以上案例因证书链不完整导致。请用SSL证书检查工具验证链状态，重点确认是否缺失中间证书；其次检查域名是否完全匹配（如证书含example.com但访问www.example.com会失败）。
Q：能否在网宿CDN上部署国密SM2 SSL证书？
A：当前仅部分节点支持SM2，且需搭配国密浏览器（如红莲花、360安全浏览器国密版）。主流Chrome/Firefox/Safari均不识别，会导致大面积访问失败。生产环境建议采用RSA/ECC双算法混合部署方案。
Q：证书续期后如何快速生效？
A：网宿CDN证书更新为热生效，上传新证书后约2–5分钟全网同步。但需注意：旧私钥若被泄露，应同步吊销原证书（通过CA平台发起CRL/OCSP），否则攻击者仍可解密历史流量。
京公网安备11010502031690号
网站经营企业工商营业执照
