百度云接入域名时SSL证书配置失败如何排查？

Question

百度云接入域名时SSL证书配置失败，常见原因包括：① 证书与私钥不匹配或格式错误（如PEM中缺少BEGIN/END标记、含BOM头、私钥未加密或加密方式不支持）；② 域名不一致——证书CN或SAN未覆盖当前接入的百度云加速/CDN/全站加速绑定的域名（尤其注意www与根域、泛域名兼容性）；③ 证书链不完整（未上传中间证书），导致浏览器信任链断裂；④ 百度云控制台上传后未点击“部署”或部署未生效（需确认状态为“已启用”，且刷新缓存）；⑤ DNS解析未指向百度云服务IP，或HTTPS回源配置错误（如回源端口非443且未开启HTTPS回源）。排查建议：使用`openssl x509 -noout -text -in cert.pem`校验证书信息；用`curl -Iv https://your-domain.com`查看实际握手响应；在百度云SSL证书管理页核对“绑定域名”“证书状态”“部署服务”三项是否全部就绪。

Answer 1

```html

一、表层现象：HTTPS访问失败的直观信号

当用户在浏览器中访问 https://your-domain.com 时出现“您的连接不是私密连接”、“NET::ERR_CERT_AUTHORITY_INVALID”或“证书不被信任”等提示，或百度云控制台SSL证书状态长期显示“待部署”“校验失败”“域名不匹配”，即为典型接入异常信号。此时切勿仅刷新页面或重试上传，需进入系统性诊断流程。

二、结构化归因：五大核心故障域深度拆解

故障域	技术本质	百度云特有约束	高危误操作示例
① 证书-私钥耦合失效	非对称加密基元失配：公钥（证书）与私钥无法完成RSA/ECC数学验证	仅接受PEM格式；强制要求-----BEGIN PRIVATE KEY-----（非PKCS#1的RSA PRIVATE KEY）；拒绝含UTF-8 BOM头文件	用Windows记事本保存私钥导致BOM注入；使用OpenSSL 3.0+默认生成的PKCS#8 ENCRYPTED私钥未解密上传
② 域名覆盖缺口	CN/SAN字段未满足SNI握手时客户端声明的server_name	百度云加速/全站加速要求：绑定域名必须100%精确匹配证书SAN列表（区分www/non-www）；泛域名*.example.com不覆盖example.com	为example.com申请证书却只填入www.example.com；使用Let's Encrypt单域名证书绑定CDN多子域业务

三、链路级验证：端到端信任链完整性诊断

执行以下命令组合验证证书链有效性：

# 1. 解析证书主体信息（确认SAN/CN）
openssl x509 -noout -text -in cert.pem | grep -A1 "Subject Alternative Name"

# 2. 验证私钥是否与证书公钥匹配
openssl x509 -noout -modulus -in cert.pem | openssl md5
openssl rsa -noout -modulus -in key.pem | openssl md5

# 3. 检查证书链层级（必须含根→中间→站点三级）
openssl crl2pkcs7 -nocrl -certfile fullchain.pem | openssl pkcs7 -print_certs -noout

四、百度云服务态闭环：部署状态三维核验

在百度智能云控制台 → SSL证书管理中，必须同步满足以下三项：

• 绑定域名：与加速服务（CDN/全站加速）配置的“源站域名”完全一致（含协议前缀判断逻辑）
• 证书状态：显示“已签发”且无红色警告图标；若为自签证书需手动开启“信任此证书”开关
• 部署服务：在证书操作栏点击“部署”，选择对应产品（如“CDN-全站加速”），状态变为“已启用”并显示生效时间戳

五、基础设施层穿透：DNS与回源协同验证

graph LR
  A[用户DNS解析] -->|CNAME至| B(百度云加速调度IP)
  B --> C{HTTPS回源策略}
  C -->|开启HTTPS回源| D[目标源站443端口]
  C -->|禁用HTTPS回源| E[目标源站80端口]
  D --> F[源站证书必须可信且域名匹配]
  E --> G[存在混合内容风险]

六、实战排查决策树

按优先级执行以下检查流：

1. 运行 curl -Iv https://your-domain.com 2>&1 | grep -E '(SSL|subject|CN|CN=|SAN)' 获取真实握手日志
2. 比对百度云证书管理页“证书详情”中的SHA-256指纹与本地openssl x509 -fingerprint -sha256 -noout -in cert.pem输出值
3. 使用 SSL Labs Test 扫描，重点观察“Chain issues”和“Domain Validation”模块
4. 检查CDN配置页“回源配置”中“回源协议”是否为HTTPS且“回源Host”与证书SAN一致
5. 执行 dig +short your-domain.com CNAME 确认CNAME已指向百度云分配的xxx.bcecdn.com域名

七、企业级加固建议

针对金融、政务等高合规场景，推荐实施：

• 采用OCSP Stapling增强吊销验证时效性（百度云控制台支持开启）
• 证书轮换前72小时预部署新证书并灰度流量验证
• 通过百度云API（DescribeCertificates）集成CI/CD流水线自动校验证书剩余有效期
• 对泛域名证书实施最小权限原则：避免*.com类高危通配符，改用*.api.example.com等限定粒度

```