【导读】RTMPS已成为主流直播推流域名强制加密标配。未部署有效SSL证书将导致播放中断、CDN回源失败及浏览器拦截。新网SSL证书支持全链路验证、多域名复用与自动化 renewal，显著降低运维成本。

RTMPS为何依赖SSL证书

RTMPS即基于TLS封装的RTMP协议，在TCP 6643端口运行。它并非简单叠加TLS层——而是要求服务器具备合法有效的X.509公钥证书，并完成完整握手流程。
缺乏受信任CA签发的SSL证书会导致：

• 终端设备拒绝建立连接（尤其iOS Safari与Android Chrome最新版本）；
• 第三方CDN节点无法校验上游推流地址合法性，触发回源阻断；
• HTTP/HTTPS混合内容策略下被现代浏览器标记为不安全资源。

据W3C媒体工作组统计，2024年Q2国内头部直播App中，98%已默认启用RTMPS入站检测机制。

直播平台典型部署场景解析

当前主流架构包含三类SSL证书应用层级：

• 边缘接入层（NGINX / SRS集群前端）：面向主播客户端，承载rtmps://domain.com/app/streamkey请求；
• 转码调度层（内部微服务通信）：虽非对外暴露，但跨AZ调用需双向mTLS认证；
• Web控制台/API后台：配套HLS/DASH播控页必需HTTPS+WebSocket双通道保护。

其中第一类属强约束项，必须绑定公网DNS可解析域名并持有对应DV/OV型SSL证书。

四步完成RTMPS证书上线

以SRS v5.0为例的新网SSL集成实践：

1. 登录新网官网选购「通配符OV SSL证书」，覆盖*.live.example.com及主域live.example.com；
2. 下载PEM格式私钥+证书链文件，合并cert.pem与chain.pem为fullchain.pem；
3. 修改srs.conf：设置listen 6643; ssl.on = on; ssl.cert=./conf/fullchain.pem; ssl.private_key=./conf/private.key；
4. 重启服务后执行openssl s_client -connect live.example.com:6643 -showcerts确认OCSP stapling状态正常。

注：切勿混用自签名或过期证书，否则FFmpeg推流器会报错[error] handshake failed.

高频故障排查清单

针对工程师反馈TOP3异常现象，给出定位方法：

• “Connection refused” → 检查防火墙是否放行6643/TCP且SELinux未限制nginx监听该端口；
• “Certificate verify failed” → 使用curl --resolve 'live.example.com:6643:127.0.0.1' https://live.example.com:6643测试证书有效性；
• SRS日志提示“no certificate configured”→ 确认config路径权限为root:root且文件不可写。

为什么选择新网SSL证书支撑直播业务

相较于通用型数字证书供应商，新网提供三项专适能力：

• 支持单张证书同时满足RTMPS/SNI/WebSocket三种加密需求；
• API对接OpenResty/Lua脚本实现证书自动轮换，规避人工更新遗漏风险；
• 提供专属技术支持通道，响应时间≤15分钟，含SRS/Nginx/AWS MediaLive等主流组件联调协助。

*本文由新网（Xinnet）内容中心编辑整理，转载请注明出处。

延伸阅读：
• 如何批量替换百台SRS实例上的旧SSL证书？
• RTMPS与QUIC over HTTP/3在低延迟场景下的性能对比数据