【导读】chls.por域名部署SSL证书是实现HTTP→HTTPS强制跳转、防止中间人劫持的关键一步。
掌握标准化下载路径与服务器适配安装方法，可规避因证书链缺失、私钥不匹配导致的服务中断。

SSL证书签发后的标准交付物识别

成功申请新网SSL证书后，用户邮箱将收到含如下四项文件的ZIP包：

• Certificate.crt —— 域名主体证书（即chls.por.crt）；
• CA_Bundle.crt —— 中间证书链（不可省略，否则移动端浏览器报错）；
• Private.key —— 私钥文件（生成CSR时本地保存，切勿泄露）；
• Root_CA.crt —— 根证书（仅调试验证用途，生产环境无需上传）。

Nginx环境下chls.por证书部署步骤

确认已备份原conf文件后，请按顺序执行：

1. 创建目录 /usr/local/nginx/conf/chls_por_ssl/ 并上传 crt+key 文件；
2. 修改 server {} 区块，指定 ssl_certificate 和 ssl_certificate_key 绝对路径；
3. 追加 ssl_trusted_certificate 指向 CA_Bundle.crt 实现OCSP装订支持；
4. 运行 nginx -t 验证语法，再 systemctl reload nginx 生效。

Apache与Windows IIS兼容性注意事项

不同平台对证书封装格式有明确约束：

• Apache需合并 chls.por.crt + CA_Bundle.crt → fullchain.pem；
• IIS仅接受PFX/P12容器格式，须用OpenSSL命令转换：
  openssl pkcs12 -export -out chls.por.pfx -inkey Private.key -in Certificate.crt -certfile CA_Bundle.crt；
• Java应用（Tomcat）应导入JKS信任库前先校验SHA-64指纹是否与新网后台一致。

常见故障排查清单

若访问chls.por提示NET::ERR_CERT_AUTHORITY_INVALID或连接重置，请逐项核查：

• - 是否遗漏上传CA_Bundle.crt或未正确拼接fullchain；
• - Nginx中ssl_protocols是否禁用了TLSv1.2及以上版本；
• - DNS解析结果是否仍指向旧IP而未刷新CDN缓存节点；
• - 新网控制台「证书状态」栏是否显示为「已部署」而非「待验证」。

*本文由新网（Xinnet）内容中心编辑整理，转载请注明出处。

延伸阅读：
Q1：chls.por子域名需要单独购买通配符证书吗？
Q2：证书到期前三天系统会主动邮件提醒吗？