Nginx加载Ionos提供的加密私钥失败，请求协助排查

兄弟，我看了你的问题日志和私钥内容，立马就找到问题根源了——你的私钥确实是加密状态，Nginx启动时没办法自动解密它，所以才会报那个密码读取失败的错误，和文件权限没关系（你设置的www-data权限是对的，root本来也有权限，所以不是权限的锅）。

给你几个解决思路，按优先级来：

• 先找服务商要密码/未加密私钥
  你这个证书是域名服务商（看起来是Ionos）免费提供的，加密私钥的解密密码大概率是他们给的——你可以回去翻当初下载证书时的邮件、下载页面的提示，或者登录域名控制面板的证书管理界面，看看有没有“导出未加密私钥”的选项，或者有没有配套的密码说明。如果找不到，直接联系服务商的技术支持，让他们给你未加密的私钥或者解密密码，这属于他们的服务范畴。

• 把加密私钥转换成未加密版本（临时应急用）
  如果暂时找不到密码，你可以用OpenSSL把加密的私钥转成未加密的，这样Nginx就能直接加载了：

  1. 执行下面的命令，注意替换成你的私钥路径：

     openssl rsa -in /etc/ssl/private/key.pem -out /etc/ssl/private/key_unencrypted.pem
     

  2. 执行后会提示你输入私钥的加密密码（就是服务商给的那个），输入正确后就会生成一个未加密的私钥文件。
  3. 修改你的Nginx配置文件，把ssl_certificate_key的路径改成这个新生成的key_unencrypted.pem，然后重启Nginx：

     systemctl restart nginx
     

  4. 生成完未加密私钥后，一定要给它设置严格的权限，防止泄露：

     chmod 600 /etc/ssl/private/key_unencrypted.pem
     chown www-data:root /etc/ssl/private/key_unencrypted.pem
     

• 额外提醒
  明年换Let's Encrypt的话就省心多了，它生成的私钥默认是未加密的，而且免费续期也方便，到时候直接用Certbot就能自动配置，不用操心这些加密问题。

备注：内容来源于stack exchange，提问作者ageis23