Apache服务器SSL证书续期后新文件对应配置替换问题

配置项替换对应关系 #

• SSLEngine on 无需修改
• SSLCertificateFile /***/crt_code.crt：替换为服务商提供的 Certificate(CRT) 文件，这是你的站点域名对应的实体证书文件。
• SSLCertificateKeyFile /***/ca_code.key：该文件无需从服务商提供的文件中替换，这是你生成CSR时同步生成的私钥文件，证书服务商不会持有你的私钥。如果本次续期你重新生成了CSR，就替换为对应新生成的私钥文件即可；如果沿用了之前的CSR，原有私钥可以正常使用不用替换。
• SSLCertificateChainFile /***/crt_code.csr：替换为服务商提供的 Intermediate/Chain files（证书链文件）。

存在的错误说明 #

原有配置遗留错误 #

之前的配置将SSLCertificateChainFile指向CSR文件属于完全错误的用法：CSR全称是证书签名请求，仅用于向证书服务商提交申请、生成证书时使用，不具备证书链验证作用。该配置错误会导致证书链不完整，部分老旧浏览器、移动端客户端访问站点时会报证书不安全的错误。

操作流程注意事项 #

你当前的续期操作本身没有问题，但需要额外确认两点：

1. 必须持有和本次提交的CSR对应的私钥文件，缺失私钥的话新证书无法正常部署生效
2. 替换完配置后需要重启Apache服务，重启后访问站点核验新证书的生效状态，确认有效期更新为续期后的时间即可。

内容的提问来源于stack exchange，提问作者Zuss