作者：辰舒
章节内容：证书申请、上传、配置、常见问题
前言
在应用HTTP协定进行内容传输时，内容都会以明文发送，不会提供任何形式的数据加密。如果您心愿业务的敏感数据在网络上传输时可能以密文传输，须要应用HTTPS协定。HTTPS是HTTP的平安版，行将HTTP用SSL/TLS协定进行封装，HTTPS的平安根底是SSL/TLS协定。HTTPS提供了加密通信办法，被宽泛用于万维网上平安敏感的通信，例如交易领取。
上个章节中，咱们学习了如何增加CNAME解析来接入CDN减速，如果业务须要HTTPS拜访，咱们还须要在解析前后配置HTTPS性能，如果域名有业务正在服务，举荐解析增加前进行配置，实现灰度测试后再调整解析。
本章节咱们独特学习HTTPS相干性能及配置，如果您的业务有相干拜访诉求，能够关注下文的实际领导内容。
筹备工作
- 已创立实现的CDN域名。
- 登录您已购买SSL域名证书的厂商控制台，如未购买，举荐通过 阿里云控制台 - SSL证书（利用平安）申请购买。
配置接入
依据您的状况，咱们将操作流程分为三个局部介绍，您能够参考流程图依据本身状况抉择配置
一、暂无证书时购买流程（可选）
二、内部证书导入流程（可选）
三、开启HTTPS平安减速
提醒：在开启HTTPS平安减速后，如果您还须要对其余HTTPS相干配置项进行理解和配置，能够持续参考下文中HTTPS性能介绍的内容。
操作流程示意图
一、暂无证书时购买流程（阿里云平台购买）
域名开启HTTPS性能前，须要您筹备可用于绑定该域名的证书文件，如果您尚未申请证书，举荐您通过阿里云的证书治理服务购买SSL证书（即 SSL证书控制台）。
a.抉择 证书治理 - 购买证书，针对您的业务域名申请付费证书，实用于企业级、对安全等级要求较高的用户。
b.抉择 收费证书 - 创立证书 - 证书申请，实用于安全等级要求个别的用户。
证书申请过程中，为了验证域名所有权，您须要填写申请表单内的相干信息，并且实现DNS验证或文件验证用于确认域名所有权，具体操作步骤您能够参考数字证书治理服务的产品文档疏导：
https://help.aliyun.com/docum...
二、内部证书导入流程
如果您曾经在其余平台购买了证书，能够在 阿里云控制台 - 数字证书治理服务 上传内部证书。
您须要登录内部证书后盾，针对须要导出的域名进行证书下载，从第三方平台导出证书到本地时，能够指定服务器类型，举荐您抉择 Nginx 类型 的证书文件下载以便于您后续上传证书。
证书下载到本地后，压缩包内至多会有2个文件，一个.key后缀文件（私钥）和 一个.pem 或 .crt后缀文件（公钥），不同厂商导出文件时，可能会有轻微区别，以理论导出状况为主。
惯例状况下，您购买的证书为国际标准证书，上传时抉择国际标准即可，证书名称自定义填写，仅用于在平台上治理辨别。咱们须要将刚刚导出的公私钥文件上传到阿里云平台，例如：
- 证书文件：又称为证书公钥，填写证书文件内容的PEM编码，公钥文件的后缀为个别.pem或.crt，应用文本编辑器关上复制并粘贴，或间接点击上传按钮抉择本地文件。
- 证书私钥：填写证书私钥内容的PEM编码。私钥证书的后缀为.key，应用文本编辑器关上复制并粘贴，或间接点击上传按钮抉择本地文件。
三、开启HTTPS平安减速
证书上传实现/购买实现后，咱们关上CDN控制台的HTTPS配置页面，开启HTTPS平安减速性能后，证书起源抉择云盾（SSL）证书核心，点击确定后即可开启，操作示意图如下：
证书名称参考云盾控制台对应证书显示的即可，证书名称查看形式：
常见问题：如果您确认证书曾经签发或上传实现，但域名开启HTTPS时无可选证书时，常见起因如下：
如果域名申请时，抉择的是单域名证书
- 证书绑定域名须要和您的CDN减速域名齐全匹配能力进行绑定。例如 www.aliyun.com 的证书，无奈用于绑定 cdn.aliyun.com。您须要为 cdn.aliyun.com 独自申请一张证书。
如果域名申请时，抉择的是泛域名证书
- 证书绑定的泛域名须要是您的CDN减速域名同级能力进行绑定，例如 .aliyun.com 的证书，只能用于绑定对应子域名，例如二级域名 cdn.aliyun.com，无奈绑定三级域名 video.cdn.aliyun.com。如需绑定多级子域名，您能够申请 泛域名证书 .cdn.aliyun.com 或 申请特定域名的单域名证书。
HTTPS相干性能介绍
HTTPS相干性能配置项为非必要的优化性能，次要用于优化传输效率或调整平安限度策略，您能够依据业务诉求判断是否开启。
配置HTTP/2（罕用）
HTTP/2也被称为HTTP 2.0，绝对于HTTP 1.1新增了多路复用、压缩HTTP头、划分申请优先级和服务端推送等个性，解决了在HTTP 1.1中始终存在的问题，优化了申请性能，同时兼容了HTTP 1.1的语义。目前，Chrome、Edge、Safari和Firefox等浏览器曾经反对HTTP/2协定。
HTTP/2在业务中最大劣势体现为晋升了TCP多路复用效率，压缩header晋升传输效率和速度。劣势体现为HTTP2在多路复用时，可能会因为底层窗口队头阻塞而导致更多下层HTTP申请受影响。
配置项总结：
- HTTP2能够晋升终端和节点间的效率，但在终端网络环境不佳的状况下，终端耗时体现可能会劣化。
- 如冀望晋升HTTP内容的传输效率，倡议开启HTTP/2；如您业务中存在较多弱网用户，倡议敞开HTTP/2。
配置强制跳转（罕用）
阿里云CDN反对配置HTTP和HTTPS强制跳转
场景一：HTTP协定（不平安）申请重定向为HTTS协定（平安）
针对曾经配置了HTTPS证书的减速域名，可配置强制跳转后，默认通过301重定向形式，将客户端到CDN节点的HTTP申请强制跳转为HTTPS申请，HTTPS申请更平安。
场景二：HTTPS协定（平安）申请重定向为HTTP协定（不平安）
通过301重定向形式，将客户端到CDN节点的HTTPS申请强制跳转为HTTP申请，无需平安传输。
配置项总结：
次要实用于业务中可能会触发HTTP申请，但冀望客户端在申请中通过HTTPS协定传输数据的场景。
配置OCSP Stapling
OCSP Stapling性能，可实现由CDN事后缓存在线证书验证后果并下发给客户端，无需浏览器间接向CA站点查问证书状态，从而缩小用户验证工夫。
启用OCSP Stapling性能后，OCSP信息查问的工作将由CDN服务器实现。CDN通过低频次查问，将查问后果缓存到服务器中（默认缓存工夫60分钟）。当客户端向服务器发动TLS握手申请时，CDN服务器将证书的OCSP信息和证书一起发送到客户端，供用户验证，无需用户再向数字证书认证机构（CA）发送查问申请。极大地提高了TLS握手效率，节俭了用户验证工夫。
配置项总结：
对TLS握手效率有优化需要时，能够开启该配置。
配置HSTS
通过强制HTTPS跳转时，仍存在一次HTTP申请的传输过程，如果您心愿齐全不应用HTTP协定进行连贯，并不容许客户承受不平安的证书，您能够开启HSTS性能，强制客户端（例如：浏览器）应用HTTPS与CDN节点创立连贯，回绝所有的HTTP连贯并阻止用户承受不平安的SSL证书，升高用户的第一次时拜访申请被歹意拦挡的危险。
配置项总结：
实用于对平安有强需要，须要阻止客户端发动HTTP连贯，并要求客户端校验证书安全性的场景，能够开启该配置。
配置TLS版本控制
阿里云CDN提供TLS版本控制性能，您能够依据不同域名的需要，灵便地配置TLS协定版本，低版本的TLS协定将提供对老版本浏览器的反对，然而协定的安全性绝对更差一些，高版本的TLS协定将提供更高的安全性，然而对老版本浏览器的兼容性绝对差一些。
配置项总结：
通常无需批改，如果您须要适配某些浏览器，或者加强TLS限度时，能够依据版本须要进行调整。
常见问题
确认证书曾经签发或上传实现，但域名开启HTTPS时无可选证书是什么起因？
上传/购买的证书无奈用于该减速域名的绑定，广泛为减速域名和证书绑定域名不匹配导致，详情可参考本文 配置接入中 开启HTTPS平安减速 相干解释。
曾经配置了HTTPS，为什么客户端还是HTTP拜访？
客户端是以HTTP拜访还是HTTPS拜访齐全是客户端的行为，如果您心愿客户端强制应用HTTPS拜访，能够在CDN上开启强制HTTPS跳转，或业务代码中援用链接时应用HTTPS协定。
局部浏览器拜访HTTPS异样，但拜访HTTP失常可能是什么起因？
证书链是由根证书、两头证书、用户证书组成。如果您上传的公钥文件中只有用户证书，局部浏览器无奈校验证书合法性导致报错或加载异样（例如提醒证书链不残缺/无奈获取两头证书/无奈校验根证书等）。您能够通过证书链补全工具，对公钥的证书链进行补全后，从新上传并更新域名的证书信息即可。
源站曾经配置了HTTPS，CDN上还须要配置HTTPS吗？
HTTPS是客户端和服务端的交互，未应用CDN之前，是客户端间接和源站交互，因而源站须要配置HTTPS。应用CDN之后，是客户端和CDN交互，如果您须要以HTTPS的模式拜访CDN，则必须在CDN上配置HTTPS证书。
源站的HTTPS证书更新了，CDN上须要同步更新吗？
不须要。源站的HTTPS证书更新后不会影响CDN上的HTTPS证书，当您在CDN上配置的HTTPS证书将要到期或者曾经到期时，您才须要在CDN上更新HTTPS证书。
开启CDN的HTTPS减速后会额外收费吗？
会额外收费。开启CDN的HTTPS减速，理论开启的是客户端到CDN边缘节点这段链路的HTTPS。因为SSL协定的握手和内容解密都须要计算，所以会减少CDN服务器的CPU资源损耗，但不会减少您源站服务器的资源损耗，因为CDN边缘节点到您源站这段链路应用的依然是HTTP协定，不会额定减少您源站的损耗。
完结
至此，HTTPS的配置及相干性能介绍内容曾经完结。如果您在步骤一的灰度验证中拜访时因HTTPS问题未达到预期，可在配置调整达到预期后再进行验证。
在下个章节中。咱们将独特学习CDN缓存的相干性能及配置，正当地配置缓存可能进步您业务中CDN的拜访效率，举荐您持续关注本系列的实际领导。