SSL 证书下载、私钥与服务器安装指南

证书已签发、尚未过期且文件已同步后，可在 我的证书 → 详情 下载或复制证书内容。

重签期间若已保留上一张证书，且旧证尚未过期，仍可点击 「下载上一张证书包」。过期证书不可下载，等待新证签发不会延长旧证有效期。

下载 ZIP 包

点击 「下载证书包 (.zip)」，文件内容取决于本站已保存的资料：

目录 / 文件	说明
`nginx/域名.pem`	已合并的 fullchain：域名证书在前，CA 中间证书链在后
`nginx/域名.key`	本站已保存与该证书匹配的私钥时提供
`apache/域名.crt`、`apache/域名_chain.crt`	域名证书和单独的 CA 中间证书链；有匹配私钥时另含 `域名.key`
`iis/域名.pfx`、`iis/pfx-password.txt`	包含证书、私钥和 CA 链的 PKCS12 文件，以及导入密码；有匹配私钥且 PFX 生成成功时提供
`tomcat/域名.pfx`、`tomcat/keystore-password.txt`	供 Tomcat 8.5+ 使用的同一份 PKCS12 密钥库和密码；有匹配私钥且 PFX 生成成功时提供，不含 JKS
`README.txt`	中文安装包说明

下载包含私钥的证书包时，若近期未确认登录密码，系统会要求再次确认。仅上传 CSR 且未补充私钥的记录不含 .key、.pfx 和密码文件，也没有 iis/、tomcat/ 目录，请使用本地备份。已在站内生成或单独保存的匹配私钥会一并打包。

如果本站保存的私钥与该证书不匹配，包内仅提供 Nginx、Apache 的证书文件，不含 .key、.pfx 和密码文件，请使用生成该证书 CSR 时对应的私钥。如果私钥匹配但 PFX 生成失败，仍可下载证书及 .key，再用 OpenSSL 自行转换；包内会省略 iis/、tomcat/ 目录，并在 README.txt 中说明原因。

PFX 密码每次下载随机生成，仅写在 ZIP 内的密码文件中，IIS 与 Tomcat 使用相同密码。请妥善保管整个 ZIP 包。「下载上一张证书包」也使用相同目录结构，但内容取自上一张证书的已保存版本。CA 链尚未同步时，_chain.crt 为空，请先同步证书文件再下载。

IIS 旧版 Windows 的 PFX 兼容性

Windows Server 2016 及更早版本若导入 PFX 时提示密码错误，可在装有 OpenSSL 3 的机器上，用 Bash/zsh 进入解压后的 iis/ 目录执行以下转换。将 原文件.pfx 替换为实际文件名，转换后导入 legacy.pfx，仍使用 pfx-password.txt 中的原密码。

(
    umask 077
    pfx_pem=$(mktemp) || exit 1
    trap 'rm -f "$pfx_pem"' EXIT
    openssl pkcs12 -in 原文件.pfx -nodes -passin file:pfx-password.txt -out "$pfx_pem" &&
    openssl pkcs12 -export -legacy -in "$pfx_pem" -out legacy.pfx -passout file:pfx-password.txt
)

临时 PEM 含明文私钥，以上命令仅允许当前用户访问，并在退出时删除。legacy.pfx 使用旧式加密以兼容旧系统；现代系统可直接使用 ZIP 中的原始 PFX。

复制 PEM

详情页提供证书正文与 CA 链的文本框，可一键复制，便于粘贴到面板或配置管理工具。

获取私钥

根据 CSR 来源不同：

CSR 来源	私钥位置
本地生成后粘贴 CSR	您本机保存的 `.key` 文件
站内密钥库生成	CSR / 密钥库 → 下载私钥
订单关联的密钥库记录	该记录已保存匹配私钥时，会随证书 ZIP 一并下载

为证书记录保存私钥

若需使用 一键部署（阿里云/腾讯云），必须提供私钥。可在证书详情 保存私钥（加密存储于平台），用于部署，也会随可下载的证书包一并提供。

⚠️ 重要提示

私钥泄露将导致证书失去安全保障。请勿通过聊天工具、邮件明文发送私钥。

常见 Web 服务器安装

以下为简要指引，具体路径因环境而异。

Nginx

server {
    listen 443 ssl;
    server_name www.example.com;

    ssl_certificate     /path/to/nginx/www.example.com.pem;
    ssl_certificate_key /path/to/nginx/www.example.com.key;

    # 建议启用现代 TLS 配置
    ssl_protocols TLSv1.2 TLSv1.3;
}

nginx/域名.pem 已合并域名证书和 CA 中间证书，无需自行拼接
修改配置后执行 nginx -t 检查，再 reload

Apache

SSLCertificateFile    /path/to/apache/www.example.com.crt
SSLCertificateKeyFile /path/to/apache/www.example.com.key
SSLCertificateChainFile /path/to/apache/www.example.com_chain.crt

其他环境

宝塔、cPanel 等面板：在 SSL 管理界面上传证书与私钥
Kubernetes：创建 tls 类型 Secret
云服务：可使用证书部署直接更新 CDN / DCDN / ESA / CLB / ALB / NLB / OSS，以及腾讯云 CDN / EdgeOne / CLB / COS；若仅上传 CAS 或腾讯云 SSL 证书库，仍需在控制台绑定到业务产品

验证安装

安装后使用浏览器访问 https://您的域名，或：

openssl s_client -connect 您的域名:443 -servername 您的域名 </dev/null 2>/dev/null | openssl x509 -noout -dates

一键部署

若已配置部署目标，先在 关联与推送 保存关联，再点 立即推送；证书详情的批量按钮仍是 全部推送。保存本身不会安装当前证书，自动只用于之后的新版本。已签发但文件未同步时，用详情里的 同步证书文件，它只查询文件，不重新做域名验证。详见关联与推送。

邮箱验证

套餐与重签

下载与安装