SSL 证书吊销、重签发场景与操作说明

核心要点吊销证书永久作废不可恢复重签发同订单免费生成新证书有效期不变不代表吊销旧证。私钥泄露场景必须先吊销旧证书再部署重签发新证书。一、证书吊销Revoke1. 吊销适用场景高危私钥泄露/丢失服务器被入侵、私钥上传代码仓库、备份文件泄露攻击者可伪造网站必须立即吊销域名所有权变更域名转让、不再持有该域名证书信息错误企业信息、域名SAN填写错误无法通过重签发修改业务下线站点关停不再使用证书CA签发错误、加密算法升级旧证书不再使用服务器迁移、人员离职旧私钥存在泄露风险❗重要吊销不可逆。一旦CA录入CRL/OCSP吊销列表浏览器会标记证书不安全无法撤销吊销操作。2. 吊销前提条件证书状态已签发、未过期已过期证书一般无需吊销仅支持当前CA/平台签发证书外部上传导入的证书要去原CA提交吊销当前平台不能代为吊销OV/EV企业证书通常需要加盖公章的吊销确认函DV域名证书大多仅需域名所有权验证无需盖章材料3. 吊销操作步骤登录证书管理控制台找到目标证书选择【吊销】填写吊销原因推荐标准原因码私钥泄露、证书替换、业务终止等证书类型校验DV域名所有权验证DNS/文件/邮箱验证OV/EV下载吊销确认函填写、盖章、上传扫描件人工审核提交申请等待CA审核生效常规数小时~48小时验证吊销结果使用CRL、OCSP工具查询确认状态为已吊销留存吊销凭证业务侧服务器、CDN、负载均衡全部删除旧证书避免残留配置4. 吊销注意事项吊销成功后原有证书直接失效网站会出现NET::ERR_CERT_REVOKED业务中断务必提前备好新证书再操作部分CA/平台规则证书签发28天内吊销、未修改域名可返还证书配额超过期限或者变更域名配额不返还需要重新购买证书各平台规则有差异证书钉死HPKP环境吊销后同步更新证书钉配置防止客户端拦截二、证书重签发Reissue1. 重签发适用场景重签发基于原有证书订单免费重新生成一张全新证书新序列号、可重新生成CSR/私钥证书有效期沿用原证书剩余时间不会自动吊销旧证书私钥怀疑泄露但证书域名、企业信息不变想更换私钥CSR填写错误需要重新生成证书服务器更换需要一套新证书私钥部署保留原有订单证书加密算法更换RSA切换SM2等以CA支持为准原有证书文件丢失需要重新下载证书✅区分重签发不修改域名、OV/EV企业主体信息如需增删SAN域名、修改企业名称多数证书不支持重签发需要吊销旧证重新下单。前往 JoySSL并注册一个账户需要填写特定的注册码 230986 以获得测试体验 SSL 证书的使用权限。2. 重签发前提条件证书状态已签发未过期部分平台限制证书剩余有效期例如大于30天才允许重签发DV免费证书大多限制重签发次数例如仅支持1次重签发OV/EV企业验证信息仍有效部分场景需要重新做域名验证重签发不产生新订单不延长有效期免费3. 重签发操作步骤证书控制台找到目标证书点击【重颁发/重签发】生成新CSR强烈建议重新生成全新私钥禁止复用旧私钥私钥泄露场景完成域名所有权验证DNS解析、文件验证、邮箱验证OV/EV部分情况复用原有企业验证提交CA签发等待审核下载新证书链证书中间根证书全节点部署服务器、CDN、WAF、负载均衡替换上新证书测试HTTPS访问⚠️关键如果是私钥泄露场景重签发拿到新证书后必须手动吊销旧证书否则旧证书依旧可以正常使用4. 重签发注意事项重签发产生新证书旧证书依然有效不会自动吊销这是最容易踩坑点重签发次数限制DV免费证书一般1次付费OV/EV各品牌规则不同重签发不能变更域名主体、企业信息要改域名需要重新购买证书部署完成后务必全链路测试HTTPS、OCSP状态三、吊销 VS 重签发 对比项目吊销 Revoke重签发 Reissue证书生命周期旧证书永久作废旧证书继续有效生成一张新证书有效期证书直接失效沿用原证书剩余时间不延期费用免费提交吊销免费同订单内操作核心用途证书不再可信强制作废同域名同主体换私钥/CSR补发证书可逆性不可恢复旧证书保留除非手动吊销适用私钥泄露✅必须操作✅用来获取新证书但必须配合吊销旧证四、标准应急流程私钥泄露场景隔离风险检查服务器删除泄露私钥排查入侵执行证书【重签发】生成全新私钥新证书将新证书部署到所有业务节点验证业务正常访问提交【吊销旧证书】申请等待CA吊销生效OCSP/CRL校验旧证书状态确认吊销成功监控业务日志排查旧证书异常访问五、常见坑点只重签发、忘记吊销旧证书私钥泄露情况下攻击者仍然可以使用旧证书先吊销旧证书没有提前部署新证书网站直接报证书吊销错误业务中断OV/EV吊销忘记准备盖章函件导致吊销审核延迟重签发复用原来泄露的私钥安全风险没有消除混淆“重签发”和“续期”重签发不会延长证书到期时间