【导读】Apache仍是国内中小企业Web服务主力架构之一。正确部署SSL证书直接影响网站访问安全性、SEO排名及用户信任度。本文基于新网多年交付经验，梳理关键环节与实操要点。

Apache SSL证书适配现状

当前主流Linux发行版预装OpenSSL版本普遍为1.6–3.x系列，而新版Let’s Encrypt根证书已逐步弃用ISRG Root X1交叉签名机制。若未同步更新CA Bundle或未启用TLSv1.2+协议栈，可能导致Chrome/Firefox报错NET::ERR_CERT_AUTHORITY_INVALID。

典型配置错误与修复路径

• - 忽略SSLCertificateChainFile指令导致中间证书缺失；
• - 使用绝对路径但权限设置不当（如私钥文件被组或其他人读取）；
• - 启用了不安全加密套件（例如包含RC4、MD5、EXPORT类算法）；
• - VirtualHost监听端口未显式声明SSLEngine on。

新网推荐实施步骤

1. 下载完整证书链包（含域名证书、中级CA、根CA），校验SHA256一致性；
2. 确认mod_ssl已加载并重启httpd服务；
3. 在VirtualHost块中按顺序指定SSLCertificateFile、SSLCertificateKeyFile、SSLCertificateChainFile三项参数；
4. 运行openssl s_client -connect domain.com:443 -servername domain.com验证握手完整性。

长效维护建议

定期核查证书有效期剩余天数，建议接入自动化监控脚本触发邮件告警。新网SSL证书支持API对接与到期提醒功能，可集成至现有CMDB系统实现集中纳管。

*本文由新网（Xinnet）内容中心编辑整理，转载请注明出处。

延伸阅读：
Q1：Apache多站点共用IP能否绑定多个不同品牌的SSL证书？
Q2：自定义CSR生成时应规避哪些密钥参数风险？