NestSSL

使用指南

部署总览

一键部署到阿里云 CDN/DCDN/ESA/CLB/ALB/NLB 等产品或 Webhook 的工作方式。

NestSSL 支持在证书签发或重签后，将证书（及私钥）自动或手动推送 到您配置的目标，减少手工登录云控制台上传的操作。

入口与页面结构

登录后访问顶部导航 证书部署。左侧按模块分组：

模块 页面 作用
证书 关联与推送 为每张已签发证书勾选目标、开启自动部署、手动推送
阿里云 API 凭证 保存 RAM AccessKey，可被多个 CDN/DCDN/ESA/CLB/ALB/NLB/OSS 等目标复用
阿里云 CDN / DCDN / ESA / CLB / ALB / NLB / OSS / 虚拟主机 / CAS 各产品类型的部署目标
腾讯云 API 凭证 保存 CAM SecretId/SecretKey
腾讯云 CDN / EdgeOne / CLB / COS / SSL CDN、EdgeOne、CLB、COS 自动部署；SSL 证书库仅上传
自建 Webhook 把证书发到您的服务器，由接收程序安装

推荐顺序：先在各云厂商下添加 API 凭证 → 再添加对应 部署目标（选择凭证并填写域名/实例等）→ 最后在 关联与推送 为证书勾选目标。

阿里云、腾讯云目标需先添加 API 凭证；Webhook 无需云凭证，可直接新增目标。

也可在 我的证书 → 详情 的「证书部署」区域查看部署记录，并对已关联目标执行 全部推送。

支持的部署目标

类型 说明 是否需要私钥
阿里云 CDN 上传 CAS 后绑定加速域名 HTTPS 证书 ✅ 需要
阿里云 DCDN 上传 CAS 后绑定全站加速域名 HTTPS 证书 ✅ 需要
阿里云 ESA 边缘安全加速站点边缘证书换证 ✅ 需要
阿里云 CLB 传统型负载均衡 HTTPS 监听换证 ✅ 需要
阿里云 ALB 应用型负载均衡 HTTPS/QUIC 监听换证 ✅ 需要
阿里云 NLB 网络型负载均衡 TCPSSL 监听换证 ✅ 需要
阿里云 OSS Bucket 自定义域名 HTTPS 证书 ✅ 需要
阿里云云虚拟主机 上传 CAS，供控制台选「云盾证书」 ✅ 需要
阿里云 CAS 仅上传到证书库 ✅ 需要
腾讯云 CDN 部署到已接入的加速域名，并开启 HTTPS 计费开关（on） ✅ 需要
腾讯云 EdgeOne 部署到已接入的加速域名 ✅ 需要
腾讯云 CLB 部署到指定地域的实例与监听器；SNI 监听器还需域名 ✅ 需要
腾讯云 COS 部署到指定地域 Bucket 的自定义域名 ✅ 需要
腾讯云 SSL 仅上传到 SSL 证书库 ✅ 需要
Webhook 公网 HTTP 或 HTTPS 接收程序 ✅ 需要

NestSSL 对 CDN / DCDN / ESA / CLB / ALB / NLB / OSS 调用各产品接口更新证书，不创建 CAS「云产品部署」任务。CDN / DCDN 会先把证书上传到 CAS 再引用 CertId。

工作流程

添加 API 凭证（Webhook 跳过）→ 保存部署目标 → 测试连接 → 关联证书并保存 → 手动推送当前证书，或等待后续新证自动推送

配合 自动换证，按 「到期前提交换证 → 完成域名验证 → 新证签发 → 自动推送」 处理：

  1. API 凭证 — 阿里云/腾讯云各保存一套或多套密钥（如生产、测试账号）
  2. 部署目标 — 按产品填写 CDN/DCDN 域名、ESA 站点 ID、CLB/ALB/NLB 监听或实例等；同一凭证可创建多个目标
  3. 关联与推送 — 为每张证书勾选要推送的目标，可勾选 换证后自动推送（换证成功后自动推送）
  4. 开启自动换证 — 证书详情打开开关（先满足页面列出的条件，见 套餐与重签）
  5. 完成本轮验证 — DNS 自动验证由系统配置；邮箱需点击邮件，手动 DNS / HTTP 需自行维护
  6. 自动推送 — 新证签发后推送到已关联且启用自动部署的目标

DNS 授权与部署凭证分别管理；添加其中一项不会自动开启另一项。

关联与推送

在 证书部署 → 关联与推送 为每张证书勾选要推送的目标。详见 关联与推送。

  • 部署目标按 厂商 分组，每个目标显示所用凭证、产品类型与域名/实例等信息，便于区分多套云账号
  • 保存关联 — 只更新目标和自动设置，不会立即推送。按钮名称和密码确认见 关联与推送
  • 立即推送 — 单个已保存目标
  • 关联页批量按钮是 立即推送到已关联目标；证书详情仍使用 全部推送

手动推送前请确认目标配置无误；CLB 等敏感目标保存与部署时均有域名校验，详见 阿里云 CLB。

证书详情中的部署

我的证书 → 详情 底部「证书部署」区域：

  • 可上传私钥（仅 CSR 申请、尚未保存私钥时）
  • 全部推送 — 证书详情上的批量推送，名称与关联页的「立即推送到已关联目标」不同
  • 部署记录 — 展示最近推送记录：目标名称与类型、凭证与配置摘要、触发方式（签发/重签/手动）、状态及按产品格式化的结果说明（如 CDN/DCDN 域名已更新、ESA 站点边缘证书已更新、CAS CertId 等）

自动部署

满足以下条件时，证书 签发 或 重签 成功后可自动推送：

  • 部署目标已启用
  • 证书已关联该目标且勾选 换证后自动推送
  • 证书记录或关联的密钥库条目中有可用私钥（包括 Webhook）
  • 本次为新签发的证书，或重签后证书内容已更新

自动部署的触发时机、重试与失败邮件见 自动化与通知。

推送成功后，还需要做什么

本平台将证书 上传到云厂商的证书库或直接更新产品证书。部分场景仍需在控制台完成最后绑定：

  • 阿里云 CAS / 腾讯云 SSL：仅上传证书库，需在控制台绑定到实际使用的云产品
  • 阿里云云虚拟主机：上传 CAS 后，还需在主机控制台选用新证书
  • CDN / DCDN / ESA / CLB / ALB / NLB / OSS：已向对应产品提交证书更新，随后请访问业务域名确认生效
  • Webhook：成功表示接收端返回 HTTP 2xx；证书安装与服务重载由您的接收程序完成

请参阅各云厂商文档或下方分平台指南。

分平台配置指南

部署失败

场景 是否发邮件
自动部署失败（签发/重签触发） ✅ 同一证书每天最多 1 封
手动推送失败（单目标或全部推送） ❌ 仅页面提示与部署记录

请检查 API 密钥、私钥与目标配置；完整规则见 自动化与通知。可在证书详情查看部署记录后重新 推送 或 全部推送。

上一篇

CSR 与密钥库

下一篇

关联与推送