HTTPS站点CFHTTP请求遇SSL错误，Let's Encrypt续期后需重复导入证书？

没错，每次Let's Encrypt证书续期后，你确实需要把新的证书重新导入ColdFusion的信任存储里——这是绕不开的操作，不过我们可以想办法让这个过程更省心。

为什么必须重新导入？ #

• Let's Encrypt的续期证书是全新的终端证书文件：虽然域名、主体信息和之前一致，但证书的有效期、序列号等核心标识都变了。ColdFusion依赖的JVM信任存储只会识别已经导入的特定证书条目，不会自动感知续期后的新证书，所以旧证书过期后，就会触发你遇到的PKIX path building failed这类信任验证错误。
• 哪怕你之前导入过Let's Encrypt的根证书/中间证书，续期后的终端证书还是独立的新条目，必须手动添加到信任存储中。

优化建议：减少手动操作的麻烦 #

既然每3个月就要续期一次，手动导入肯定很繁琐，推荐这两个方案：

1. 自动化导入脚本
   用JDK自带的keytool命令写个脚本，在证书续期完成后自动执行导入。示例命令如下（记得替换成你的实际路径和别名）：

   keytool -importcert -file /path/to/renewed/fullchain.pem -alias your-domain-com -keystore /opt/coldfusion/jre/lib/security/cacerts -storepass your-keystore-password -noprompt
   

   解释一下：fullchain.pem是Let's Encrypt续期后生成的完整证书链文件，-noprompt参数可以跳过交互确认，适合脚本自动执行。另外默认的cacerts密码是changeit，建议改成更安全的密码。

2. 切换到系统级信任存储（如果可行）
   很多现代服务器系统已经默认信任Let's Encrypt的根证书（比如ISRG Root X1）。你可以配置ColdFusion的JVM使用系统的信任存储，而不是自带的cacerts文件。这样续期后的终端证书因为链上的根证书已被系统信任，就不需要每次单独导入了。
   具体配置方法是修改ColdFusion的JVM启动参数，添加：

   -Djavax.net.ssl.trustStore=/path/to/system/truststore
   -Djavax.net.ssl.trustStorePassword=your-system-truststore-password
   

   不同系统的信任存储路径不一样，比如Linux是/etc/ssl/certs/java/cacerts，Windows是C:\Windows\System32\config\systemprofile\.keystore，需要根据你的服务器系统调整。

额外提醒 #

• 导入证书后，记得重启ColdFusion服务，让新的信任配置生效。
• 确保你导入的是完整的证书链（也就是Let's Encrypt提供的fullchain.pem），而不是只导入域名证书，这样能避免中间证书缺失导致的信任问题。

内容的提问来源于stack exchange，提问作者Abhishekh Gupta