Certificate Management Service:Why did my SSL certificate deployment fail?

El tráfico HTTPS usa el puerto 443. Si este puerto está bloqueado, los navegadores no pueden establecer una conexión segura.

Si utiliza una instancia ECS de Alibaba Cloud, revise las reglas del security group:

1. Vaya a la página ECS console Security Groups.

2. Compruebe que el puerto 443 admite tráfico entrante.

Para más información sobre cómo gestionar las reglas de un security group, consulte Manage security groups.

Si utiliza Web Application Firewall (WAF), compruebe que WAF no bloquee el acceso externo al puerto 443:

1. Inicie sesión en la consola de Web Application Firewall 3.0. En la barra de menú superior, seleccione el resource group y la región (Chinese Mainland o Outside Chinese Mainland) de la instancia de WAF.

2. En el panel de navegación izquierdo, haga clic en Onboarding.

3. En la pestaña CNAME Record, confirme que se permite el acceso externo al puerto 443.

Si su dominio está detrás de una red de distribución de contenido (CDN) o de Web Application Firewall (WAF) que actúa como proxy de capa 7, no basta con desplegar el certificado SSL únicamente en el servidor de origen. También debe configurar el certificado en el servicio CDN.

• En la página Certificate Service de la consola de CDN, configure el certificado HTTPS para su nombre de dominio acelerado.

• Agregue el nombre de dominio principal como nombre de dominio acelerado en la consola de CDN para obtener su CNAME dedicado. No reutilice el CNAME de un subdominio www para el nombre de dominio principal.

• Si obtiene un error 502 después de configurar CDN, vaya a la configuración de origen de CDN, habilite Origin SNI, establézcala para que coincida con el encabezado Host de origen y defina el protocolo de origen como Follow.

Las rutas mal configuradas o la falta de reinicio del servicio figuran entre las causas más comunes de los errores de despliegue.

• Compruebe que la ruta y el nombre del archivo de certificado en el archivo de configuración coincidan con la ubicación real en disco. A continuación se muestra un ejemplo de NGINX con los campos relevantes:

  server {
      # Port 443 is the default port for HTTPS
      listen 443 ssl;
      server_name example.com;
  
      # Replace these paths with your actual certificate and private key paths
      ssl_certificate /etc/nginx/ssl/example.com.crt;
      ssl_certificate_key /etc/nginx/ssl/example.com.key;
  
      # Other configuration...
  }

• Confirme que guardó el archivo de configuración después de editarlo.

• Reinicie el servidor web para aplicar los cambios:

  • NGINX: ``bash sudo nginx -s reload ``

  • Apache HTTP Server: ``bash sudo systemctl restart httpd ``

1. Inicie sesión en la consola de Certificate Management Service.

2. En el panel de navegación izquierdo, elija Certificate Management > SSL Certificate Management V2.0.

3. En la página SSL Certificate Management V2.0, localice su certificado y compruebe lo siguiente:

   • Que Status sea Issued.

   • Que Bound Domains incluya el dominio correcto.

Si el certificado caducó, renuévelo. Para conocer los pasos de renovación, consulte SSL Certificate Renewal and Expiration Handling.

Si utiliza un certificado autofirmado, el navegador mostrará una advertencia porque estos certificados no son de confianza de forma predeterminada. Para comprobar el estado de confianza en Google Chrome:

1. Abra el sitio en Chrome.

2. Haga clic en el ícono de la barra de direcciones. Si no aparece ningún ícono de advertencia, el navegador confía en el certificado. Un ícono rojo significa que no confía en él.

1. Haga clic en el ícono para ver los detalles. Si el certificado no es de confianza, la ventana de información del certificado mostrará una advertencia.

Si utiliza un certificado comercial, confirme que lo emitió una autoridad de certificación (CA) de confianza. Para comprobarlo en Chrome:

1. Haga clic en el ícono de la barra de direcciones.

2. Haga clic en Connection is secure.

3. Haga clic en Certificate (Valid). Un certificado emitido por una CA de confianza no muestra ninguna advertencia.

En la ventana de información del certificado, busque el campo Issuer y confirme que el nombre común (CN) y el nombre de la organización (O) correspondan a una CA reconocida.

Si DNS no apunta a la IP correcta del servidor, las conexiones HTTPS se dirigen a un host equivocado y el certificado no coincidirá.

1. Inicie sesión en la consola de Alibaba Cloud DNS.

2. En la página Public Zone, dentro de la pestaña Authoritative Domain Names, haga clic en el nombre de dominio para abrir la página Settings.

1. Haga clic en Add Record y compruebe que Record Value coincida con la dirección IP de su servidor. Si no coincide, haga clic en Edit para actualizarlo.

Los cambios de DNS tardan en propagarse. Si actualizó la configuración de DNS recientemente, borre la caché DNS local y vuelva a intentarlo.

Los navegadores pueden almacenar datos antiguos del certificado en la caché. Borre la caché del navegador y vuelva a visitar el sitio, o bien abra el sitio en modo incógnito (Chrome) o en modo InPrivate (Microsoft Edge) para omitir la caché.

Importancia de este paso: los navegadores verifican toda la cadena, desde el certificado raíz hasta el certificado de su servidor. Si falta un certificado intermedio, se generan advertencias de certificado no confiable. Esto ocurre especialmente en navegadores Android que no admiten la obtención de certificados intermedios mediante URL de Authority Information Access (AIA).

La cadena de certificados debe tener el siguiente orden:

-----BEGIN CERTIFICATE-----
Website certificate
-----END CERTIFICATE-----

-----BEGIN CERTIFICATE-----
CA intermediate certificate
-----END CERTIFICATE-----

-----BEGIN CERTIFICATE-----
CA root certificate
-----END CERTIFICATE-----

El orden de la cadena es: certificado del sitio web > certificado intermedio de la CA > certificado raíz de la CA. Una cadena de certificados intermedios puede tener varias capas.

Importancia de este paso: cuando genera una solicitud de firma de certificado (CSR), se crea una clave privada al mismo tiempo. Solo la clave privada correspondiente funciona con ese certificado. Si carga una clave privada que no coincide, el protocolo de enlace HTTPS fallará.

Para comprobar la coincidencia en un sistema Linux:

1. Inicie sesión en su instancia ECS y vaya al directorio de instalación del certificado:

   # Replace /ssl with your actual certificate installation path
   cd /ssl

2. Obtenga el hash MD5 de la clave pública del certificado:

   # Replace your_certificate.pem with your actual PEM file name
   sudo openssl x509 -in your_certificate.pem -noout -pubkey | openssl md5

3. Obtenga el hash MD5 de la clave pública de la clave privada:

   # Replace your_private_key.key with your actual private key file name
   sudo openssl rsa -in your_private_key.key -pubout | openssl md5

4. Compare ambos hash MD5. Si coinciden, la clave privada corresponde al certificado.

Si perdió o dañó la clave privada, genere una nueva key pair y solicite un nuevo certificado.

El formato del certificado y el conjunto de cifrado deben ser compatibles con los navegadores principales.

• Utilice una CA de confianza. Los navegadores principales confían automáticamente en los certificados de CA reconocidas.

• Utilice el formato X.509. Compruebe el formato del certificado con el siguiente comando:

  # Replace /ssl/your_certificate.pem with your actual installation path
  sudo openssl x509 -in /ssl/your_certificate.pem -text -noout

  Si el certificado tiene formato X.509, el comando devuelve la versión, el número de serie, el algoritmo de firma, el emisor, el periodo de validez y los detalles de la clave pública:

  Certificate:
      Data:
          Version: 3 (0x2)
          Serial Number:
               01:23:45:67:89:ab:cd:ef:01:23:45:67:89:ab:cd:ef
          Signature Algorithm: sha256WithRSAEncryption
          Issuer: C = US, O = DigiCert Inc
          Validity
              Not Before: Jan 17 00:00:00 2025 GMT
              Not After : Jan 17 23:59:59 2026 GMT
          Subject: CN = example.com
          Subject Public Key Info:
              Public Key Algorithm: rsaEncryption
                  RSA Public-Key: (2048 bit)
                  ......

  Guarde el certificado y la cadena de certificados intermedios en formato PEM (archivos .crt o .pem).

• Utilice conjuntos de cifrado modernos. Configure el servidor para usar TLS 1.2 o TLS 1.3 y deshabilite los protocolos y algoritmos inseguros: SSL 2.0, SSL 3.0, TLS 1.0, TLS 1.1, RC4 y 3DES.

• Pruebe el sitio en varios navegadores y dispositivos para confirmar la compatibilidad.

El proceso del servidor web debe poder leer los archivos de certificado. Si los permisos son demasiado restrictivos, el servidor no podrá cargar el certificado.

Para consultar y establecer permisos en un servidor Linux:

1. Consulte los permisos del directorio:

   • El primer carácter (d) indica que es un directorio.

   • Los tres caracteres siguientes (rwx) son los permisos del propietario: lectura, escritura y ejecución.

   • Los tres del medio (r-x) son los permisos del grupo: lectura y ejecución.

   • Los últimos tres (r-x) son los permisos para otros usuarios: lectura y ejecución.

   # Replace /ssl with your actual certificate directory path
   sudo ls -ld /ssl

   El resultado será similar a drwxr-xr-x, donde:

2. Confirme que existan los permisos de lectura (r) y ejecución (x) para el usuario o grupo que ejecuta el servidor web. El permiso de ejecución en un directorio permite a los usuarios entrar en él (por ejemplo, con cd).

3. (Opcional) Para actualizar los permisos, ejecute:

   # Replace /ssl with your actual certificate directory path
   sudo chmod 750 /ssl

   El permiso 750 otorga al propietario acceso de lectura, escritura y ejecución; al grupo, acceso de lectura y ejecución; y ningún acceso a otros usuarios.

Las implementaciones de sitios web varían. Revise los archivos de registro de su servidor web y de la aplicación en busca de mensajes de error relacionados con SSL para identificar la causa raíz. Si el problema persiste, comuníquese con su gerente de cuenta .