Certificate Management Service:Télécharger un certificat SSL

Prérequis

Vous avez émis un certificat via la console Certificate Management Service. Pour plus d'informations, consultez la rubrique Acheter un certificat officiel.

Comment demander un certificat gratuit : Soumettez une demande de certificat gratuit dans la console Certificate Management Service. Notez que les certificats gratuits sont soumis à un quota annuel. Si le quota de l'année en cours est épuisé, vous devez acheter un certificat officiel.

Correspondance entre canal d'achat et emplacement de téléchargement : Consultez et téléchargez les certificats achetés via SSL Certificate Management V2.0 depuis la page SSL Certificate Management V2.0. Consultez les certificats achetés via d'autres canaux que la version 2.0 sur la page héritée (V1.0). Si vous disposez d'enregistrements dans la gestion des remboursements de commandes mais qu'aucun certificat n'apparaît dans la liste, vérifiez votre canal d'achat et connectez-vous à la version de console correspondante.

Remarques

• Pour des raisons de sécurité des données, il est impossible de télécharger les certificats tiers importés dans Certificate Management Service pour une gestion centralisée afin de les utiliser sur des serveurs auto-gérés. La gestion centralisée et le déploiement automatique vers des produits cloud via la console peuvent entraîner des frais de service ou nécessiter des fonctionnalités d'hébergement spécifiques. Pour plus de détails, consultez la documentation sur l'hébergement de certificats.

• Le téléchargement d'un certificat SSL n'est possible que si son statut est Issued, Pending Expiration ou Expired. Les certificats dans d'autres états ne peuvent pas être téléchargés.

• Un certificat doit être déployé sur un serveur professionnel pour être utilisé. Si vous souhaitez uniquement obtenir le fichier de certificat, finalisez d'abord le processus de demande et d'émission, puis téléchargez le fichier pour un déploiement manuel.

Procédure

1. Connectez-vous à la console Certificate Management Service.

2. Pour les certificats achetés via la version 2.0, sélectionnez Certificate Management > SSL Certificate Management V2.0 dans le volet de navigation de gauche. Pour les certificats achetés via la version 1.0, sélectionnez Certificate Management > SSL Certificate Management (V1.0 no longer available for new purchases).

3. Dans l'onglet Commercial Certificates, sélectionnez le certificat à télécharger et cliquez sur Download sous la liste des certificats.

   Instructions de livraison du certificat : Si vous êtes un acheteur intermédiaire (et non le responsable final du déploiement), transmettez intégralement le package de certificat téléchargé, au format correspondant au serveur cible (incluant la clé publique, la clé privée et le fichier de mot de passe), à la personne chargée du déploiement. Rappelez-lui de protéger correctement le fichier de clé privée.

4. Dans la boîte de dialogue qui s'affiche, sélectionnez le format de certificat correspondant à votre type de serveur, téléchargez le package de certificat et décompressez-le.

   Si le format de certificat correspondant à votre type de serveur ne figure pas dans la liste, téléchargez le format PEM et convertissez-le à l'aide d'un outil de conversion de certificats. Pour plus d'informations, consultez la rubrique Convertir les formats de certificat.

   Remarque

   • Pour savoir comment vérifier le type de serveur, consultez la rubrique Interroger le type de serveur.

   • Le fichier de certificat téléchargé inclut généralement un certificat intermédiaire. En cas de problème de certificat intermédiaire non approuvé lors de l'installation du certificat SSL, contactez votre gestionnaire de compte.

   • Si vous avez utilisé un fichier de demande de signature de certificat (CSR) généré manuellement à l'aide d'outils tels qu'OpenSSL ou Keytool lors de la demande, la clé privée est gérée localement. Le package de certificat téléchargé n'inclut pas le fichier de clé privée.

   • Le package de certificat téléchargé inclut déjà les fichiers de certificat pour le domaine principal et ses sous-domaines. Les noms de fichiers sont généralement basés sur l'ID du certificat ou le nom de domaine associé. Utilisez directement le fichier PEM ou CRT contenu dans le package comme certificat de domaine principal, sans rechercher un nom de fichier spécifique.

   • Si vous ne savez pas quel fichier sélectionner, le format PEM (qui inclut la chaîne de certificats) accompagné du fichier KEY est généralement recommandé. Importez-les sur votre serveur web pour finaliser le déploiement.

   • Si vous ignorez le type de votre serveur, téléchargez tous les packages de formats de certificat disponibles. Une fois l'environnement serveur confirmé, sélectionnez le fichier de certificat correspondant pour le déploiement.

   Types de serveurs et formats de certificat

   Lorsque vous téléchargez un certificat, la boîte de dialogue propose les formats suivants :

   Type de certificat	Type de serveur	Format de certificat	Fichiers dans le package
   Certificat SSL	NGINX	PEM Format de certificat universel encodé en Base64, lisible en texte clair. S'applique à la plupart des serveurs ou applications tels que NGINX.	nom de domaine.pem : le fichier de certificat. nom de domaine.key : le fichier de clé privée du certificat.
   	Tomcat	PFX (également appelé PKCS#12) Format binaire contenant à la fois la clé publique et la clé privée. S'applique aux serveurs tels que Tomcat, IIS et Exchange.	nom de domaine.pfx : le fichier de certificat au format PFX. pfx-password.txt : le mot de passe protégeant le certificat. Remarque Lors de la soumission de la demande de certificat, si vous n'avez pas défini la Méthode de génération CSR sur Généré par le système, le package de certificat téléchargé n'inclut pas le fichier de mot de passe TXT.
   	Apache	CRT Format binaire contenant le certificat et les métadonnées associées (informations sur l'émetteur, période de validité, sujet, etc.), mais pas la clé privée. S'applique aux serveurs Apache.	nom de domaine_public.crt : le fichier de certificat. nom de domaine_chain.crt : le fichier de chaîne de certificats. nom de domaine.key : le fichier de clé privée du certificat.
   	IIS	PFX (également appelé PKCS#12) Format binaire contenant à la fois la clé publique et la clé privée. S'applique aux serveurs tels que Tomcat, IIS et Exchange.	nom de domaine.pfx : le fichier de certificat. pfx-password.txt : le mot de passe protégeant le certificat.
   	JKS	JKS Format de keystore exclusif à la plateforme Java. S'applique aux serveurs web ou applications basés sur Java tels que Tomcat et Jetty.	Le package décompressé contient les fichiers suivants : nom de domaine.jks : le fichier de certificat. jks-password.txt : le mot de passe protégeant le certificat.
   	Other	PEM Format de certificat polyvalent basé sur l'encodage Base64, lisible en texte clair. Si le format dont vous avez besoin n'est pas disponible dans la console, sélectionnez ce format et convertissez-le manuellement après le téléchargement.	Fichiers de certificat au format PEM : nom de domaine.pem : le fichier de certificat au format PEM. nom de domaine.key : le fichier de clé privée du certificat.
   	Download Root Certificate	Un certificat racine est généralement au format CRT ou CER. Il s'applique aux scénarios de navigateurs non-PC, tels que les services d'applications et les terminaux IoT qui ne disposent pas de certificats racines préinstallés. Vous devez télécharger et installer le certificat racine correspondant à la marque de certificat SSL. Pour plus d'informations, consultez Afficher le document.	N/A
   Certificat SM2	N/A	PEM	PEM Les certificats SM2 utilisent le format PEM quel que soit le type de serveur. Après décompression, le package contient les fichiers suivants : Certificat de signature et clé privée : nom de domaine_sm2_sign.pem et nom de domaine_sm2_sign.key. Certificat de chiffrement et clé privée : nom de domaine_sm2_enc.pem et nom de domaine_sm2_enc.key.

   Obtention du format .cer : Si votre système professionnel (tel que SAP Web Dispatcher) requiert le format .cer, téléchargez le certificat au format CRT correspondant à Apache et modifiez directement l'extension du fichier de .crt en .cer. La console ne fournit pas de fichiers au format .cer. Vous pouvez également télécharger le certificat au format PEM et changer l'extension de .pem en .cer.

   Remarques sur les fichiers de certificat Nginx : Les fichiers .pem et .key correspondant à Nginx sont des fichiers texte encodés en Base64. Si vous ne parvenez pas à les ouvrir directement sur votre machine locale, utilisez un éditeur de texte tel que le Bloc-notes pour afficher le contenu.

   Remarques sur le format des certificats gratuits : Le format image n'est pas disponible pour le téléchargement des certificats SSL gratuits. Le format image que vous pouvez voir appartient généralement aux certificats de nom de domaine (tels que les logos de marque), et non aux fichiers de certificat SSL utilisés pour le déploiement sur serveur. Téléchargez des formats standard tels que PEM ou PFX pour le déploiement.

   Explication sur les certificats multi-domaines : Il est normal de recevoir un seul fichier de certificat lors du téléchargement d'un certificat SSL multi-domaine. Un certificat multi-domaine est un fichier unique couvrant plusieurs domaines. Ce certificat peut être déployé sur tous les domaines associés ; le système ne génère pas de fichiers distincts pour chaque domaine.

   Le nom du fichier téléchargé ne correspond pas aux attentes : Si le nom du fichier téléchargé ne correspond pas à vos attentes, vérifiez que vous avez sélectionné le bon type de serveur. Différents types de serveurs utilisent différentes extensions de fichier et structures de contenu.

   Seuls des fichiers images lors du téléchargement : Si le fichier de certificat SSL téléchargé apparaît comme une image, vérifiez s'il y a eu une erreur de manipulation ou un problème de rendu du navigateur. Connectez-vous à la console Certificate Management Service et suivez les étapes de cette rubrique pour retélécharger le package de certificat et l'extraire afin d'obtenir le format correct.

   Impossible de trouver le certificat dans la console ou de télécharger la clé privée : Vérifiez si votre compte dispose d'un enregistrement de certificat public SSL pour le domaine. Si aucun enregistrement n'existe, vérifiez si vous avez sauvegardé localement la clé privée générée lors de la création de la CSR. Si la clé privée est perdue, vous devrez régénérer la CSR et réémettre le certificat.

Étapes suivantes

Après avoir téléchargé le certificat SSL sur votre ordinateur, configurez-le manuellement sur votre serveur d'application web. Pour plus d'informations, consultez la rubrique Déployer manuellement un certificat.

• Déploiement sur une plateforme autre qu'Alibaba Cloud : En cas de déploiement sur un dispositif proxy, reportez-vous à la documentation de la plateforme correspondante pour la configuration. En cas de déploiement sur un serveur, configurez le déploiement dans le fichier de configuration du serveur en fonction du type de serveur web (tel que Nginx ou Apache).

• Déploiement sur une plateforme cloud tierce : Lors du déploiement sur une plateforme cloud tierce (telle que Cloudflare), téléchargez d'abord le certificat et importez-le sur le serveur cible, puis renseignez les chemins absolus correspondants du certificat et de la clé privée dans le fichier de configuration en fonction du type de serveur web spécifique (tel que Nginx ou Apache).

• Domaine sur Alibaba Cloud mais serveur hors Alibaba Cloud : Si votre domaine est enregistré sur Alibaba Cloud mais que votre serveur est hébergé ailleurs, vous ne pouvez pas utiliser la fonctionnalité de déploiement en un clic. Demandez et téléchargez le fichier de certificat adapté à votre type de serveur web actuel (tel que Nginx ou Apache) depuis la console Certificate Management Service, puis configurez manuellement le certificat SSL sur votre propre serveur et activez l'écoute sur le port 443. Assurez-vous que la résolution DNS du domaine Alibaba Cloud pointe vers l'adresse IP de ce serveur.

• Déploiement sur Yunmeng Website Builder (Wanxiaozhi) :

  1. Téléchargez le certificat SSL depuis la console Certificate Management Service en sélectionnant le format Nginx.

  2. Après extraction, ouvrez les fichiers .pem et .key avec un éditeur de texte et copiez leur contenu.

  3. Connectez-vous à la console Yunmeng Website Builder (Wanxiaozhi), recherchez l'option Configurer un certificat HTTPS personnalisé pour le domaine correspondant, et collez le contenu du fichier .pem (certificat) et du fichier .key (clé privée) pour l'importation.

  4. Si l'accès affiche toujours un état non sécurisé après la configuration, videz le cache du navigateur ou utilisez le mode navigation privée ou un autre navigateur pour effectuer un test.

• Déploiement sur Baota Panel : Connectez-vous à Baota Panel, accédez à Paramètres du site > SSL, sélectionnez Autre certificat, et collez respectivement le contenu du certificat au format Nginx téléchargé (.pem et .key) dans les champs clé et certificat. Enregistrez et forcez HTTPS.

• Déploiement sur Cloud Enterprise Official Website : Après avoir téléchargé et extrait le package de certificat au format Nginx, connectez-vous au backend de Cloud Enterprise Official Website, accédez à la page de configuration HTTPS, et collez le contenu du fichier de certificat extrait (.pem) et du fichier de clé privée (.key) dans les champs de saisie correspondants, puis enregistrez.

• Redéploiement de certificats sur un nouveau serveur : Si vous devez redéployer le certificat sur un nouveau serveur ou une architecture différente, choisissez le schéma de déploiement approprié en fonction de votre scénario professionnel. Consultez la rubrique Sélection du schéma de déploiement de certificat SSL pour connaître les scénarios applicables et les guides opérationnels pour le déploiement automatique, le déploiement manuel et le déploiement avec équilibrage de charge.

• Déploiement pour différents types de serveurs : Après l'émission, consultez les documents suivants pour le déploiement en fonction de votre type de serveur web :

  • Serveurs Nginx, Apache et autres : Consultez la rubrique Installer un certificat SSL sur un serveur.

  Processus principal de déploiement manuel :

  1. Importez le fichier de certificat téléchargé dans le répertoire spécifié sur le serveur.

  2. Modifiez le fichier de configuration en fonction du type de serveur web (tel que Nginx ou Apache) pour spécifier les chemins du certificat et de la clé privée.

  3. Redémarrez ou rechargez le service pour appliquer la configuration.

• Intégration avec Alibaba Cloud Enterprise Mail : Après l'achat d'un certificat SSL, importez-le dans le backend d'Alibaba Cloud Enterprise Mail pour utilisation, avec prise en charge du forçage HTTPS. Pour l'importation de certificats SSL, consultez la rubrique Configuration du certificat SSL pour Enterprise Mail.

• Gestion de l'expiration du certificat : Si le certificat SSL a expiré, accédez à la console des certificats pour en demander un nouveau. Lors de la demande, renseignez le nom de domaine principal ; le sous-domaine www correspondant sera automatiquement inclus après l'émission. Après soumission de la demande, ajoutez un enregistrement DNS pour la vérification du domaine. Une fois vérifié, téléchargez le nouveau certificat et déployez-le dans votre environnement professionnel. Si le quota annuel de certificats gratuits est épuisé, vous devez acheter un certificat officiel.

FAQ

Q : Quelle est la différence entre les certificats SSL décrits dans cette rubrique et les certificats de nom de domaine ?

R : Cette rubrique couvre uniquement le téléchargement de certificats numériques SSL. Si vous devez télécharger un certificat de nom de domaine au format PDF pour le dépôt auprès du Ministère de la Sécurité Publique, accédez à la console des noms de domaine ou au système de dépôt.

Q : Dois-je télécharger chaque certificat SSL séparément après l'émission ?

R : Oui, vous devez télécharger chaque certificat émis séparément en fonction du format requis pour votre environnement de déploiement. Par exemple, le déploiement sur un serveur Nginx nécessite le téléchargement du certificat au format Nginx. En cas de déploiement sur des produits tels que Cloud Quick Website Builder, importez ou configurez directement dans la console du produit correspondant sans télécharger manuellement un format spécifique.

Q : Que faire si la personne chargée du déploiement initial n'est plus disponible ?

R : Consultez la documentation d'aide d'Alibaba Cloud pour les tutoriels de déploiement manuel afin de le configurer vous-même. Si vous avez besoin d'assistance, achetez le service de déploiement expert pour bénéficier d'un support spécialisé.

Q : Que faire si le téléchargement d'un certificat SSL gratuit échoue ou si le fichier ne peut pas être ouvert ?

R : Nous vous recommandons d'utiliser un navigateur de bureau pour le téléchargement. Si le fichier téléchargé ne peut pas être ouvert directement, utilisez un éditeur de texte tel que le Bloc-notes pour afficher le contenu du certificat et confirmer que le fichier de certificat a été correctement obtenu.

Q : Comment déployer et installer un certificat SSL après le téléchargement ?

R : Après avoir téléchargé le certificat SSL sur votre machine locale, configurez-le et déployez-le manuellement en fonction de votre type de serveur web. Consultez la rubrique Déployer manuellement un certificat, ou référez-vous à la rubrique Installer un certificat SSL sur un serveur pour obtenir des guides de déploiement adaptés à différents types de serveurs.