证书格式说明

Root CA机构可以颁发多个证书，这些证书可以用于Apache、IIS、Nginx和Tomcat等Web服务器。阿里云CDN使用的证书格式与Nginx兼容，包含后缀为.crt（证书）和后缀为.key（私钥）的这两个文件。

您可以进入Nginx文件夹，使用文本编辑器打开.crt文件。

PEM格式证书

• 以“-----BEGIN CERTIFICATE-----”开头，以“-----END CERTIFICATE-----”结尾。

• 每行64个字符，最后一行可以不足64个字符。

证书上传要求

• 请将以“-----BEGIN CERTIFICATE-----”开头和以“-----END CERTIFICATE-----”结尾的内容一并上传。

• 每行64个字符，最后一行可以不足64个字符。

配置HTTPS时，您需要将服务器证书与中间证书拼接成一份完整的证书后再上传。

私钥扩展名一般为.pem或.key。

私钥PEM格式

• 以“-----BEGIN RSA PRIVATE KEY-----”开头，“-----END RSA PRIVATE KEY-----”结尾。

• 每行64个字符，最后一行可以不足64个字符。

上传RSA私钥之前，您需要通过openssl genrsa -out privateKey.pem 2048在本地先生成私钥，privateKey.pem为您的私钥文件。

• 请将以“-----BEGIN RSA PRIVATE KEY-----”开头和以“-----END RSA PRIVATE KEY-----”结尾的内容一并上传。

• 每行64个字符，最后一行可以不足64个字符。

如果您得到的是以“-----BEGIN PRIVATE KEY-----”开头，以“-----END PRIVATE KEY-----”结尾的私钥，您需要使用OpenSSL工具执行以下命令进行转换，然后将new_server_key.pem的内容与证书一起上传。

openssl rsa -in old_server_key.pem -out new_server_key.pem

密钥长度要求

• 最小密钥长度：建议不低于 2048 位。低于 2048 位的 RSA 密钥（如 1024 位）安全性不足，上传时可能被后端校验拒绝。

• 推荐密钥长度：2048 位或 4096 位。可使用 openssl genrsa -out privateKey.pem 2048 或 openssl genrsa -out privateKey.pem 4096 生成。

• ECC 证书：CDN 也支持 ECC（椭圆曲线）证书。常见的 ECC 曲线类型包括 prime256v1（即 secp256r1）和 secp384r1。生成 ECC 私钥的示例命令：

  openssl ecparam -genkey -name prime256v1 -out ecc_key.pem

HTTPS配置只支持PEM格式的证书，其他格式的证书需要转换成PEM格式，建议通过OpenSSL工具进行转换。下面是几种主流的证书格式转换为PEM格式的方法。