使用Automated Certificate Management的Heroku应用如何禁用SNI？

好的，我来帮你搞定这个问题——Heroku的Automated Certificate Management（ACM）默认依赖SNI，要禁用SNI，你需要切换到传统的SSL Endpoint（这是一个付费附加组件），手动管理SSL证书。下面是详细操作流程：

• 第一步：禁用自动证书管理（ACM）
  首先得关掉当前的ACM关联，移除SNI类型的证书。在终端运行：

  heroku certs:auto:disable
  

  这个命令会终止ACM的自动证书更新服务，同时移除当前绑定的SNI证书。

• 第二步：添加传统SSL Endpoint附加组件
  传统SSL Endpoint是Heroku提供的非SNI型SSL服务，需要先添加这个付费组件：

  heroku addons:create ssl:endpoint
  

  执行后Heroku会为你的应用分配一个专属的SSL端点地址（后续要用到）。

• 第三步：上传自定义SSL证书
  传统SSL Endpoint需要你提供自己的SSL证书（可以从Let's Encrypt、DigiCert等CA机构获取），注意证书必须是PEM格式，且包含完整的证书链，私钥不能设置密码保护。
  准备好证书文件（比如server.crt）和私钥文件（比如server.key）后，运行上传命令：

  heroku certs:add server.crt server.key
  

• 第四步：更新DNS记录
  上传证书后，用下面的命令查看新的SSL端点地址：

  heroku certs
  

  找到Endpoint字段对应的地址，把你的自定义域名的CNAME记录指向这个地址（替换之前ACM对应的域名记录）。

• 第五步：验证SNI是否禁用成功
  等待DNS生效后，用openssl工具测试连接，不需要指定SNI参数：

  openssl s_client -connect yourdomain.com:443
  

  如果连接成功并返回证书信息，说明SNI已经禁用，客户端无需发送SNI标识也能正常建立SSL连接。

注意事项 #

• 传统SSL Endpoint是付费服务，每个Heroku应用只能绑定一个。
• 禁用ACM后，证书需要你手动更新，到期前记得重新上传新证书。
• 如果你之前用的是Heroku默认域名，切换后可能需要重新配置，但一般自定义域名才会遇到SNI兼容问题。

内容的提问来源于stack exchange，提问作者Eugene Stanko