CDN:Configurar um certificado HTTPS

Escopo

Antes de configurar um certificado, revise os limites e restrições do recurso abaixo para garantir uma implantação bem-sucedida:

• Adquirir um certificado: Caso não possua um certificado, você pode comprar um certificado oficial no console do Certificate Management Service.

• Requisitos da chave privada: Se optar por fazer upload de um certificado personalizado, a chave privada do certificado enviado não deve estar protegida por senha. Primeiro, verifique se a proteção por senha foi removida do arquivo de chave privada.

• Certificado SM (SM2): O console do CDN não suporta a configuração direta de setups de certificado duplo SM2. Para utilizar um certificado SM, configure-o por meio da operação de API SetCdnDomainSMCertificate.

Configurar pelo console

1. Faça logon no console do CDN.

2. No painel de navegação à esquerda, clique em Domain Names.

3. Na página Domain Names, localize o nome de domínio desejado e clique em Manage na coluna Actions.

4. No painel de navegação do domínio, clique em HTTPS.

5. Na seção HTTPS Certificate, clique em Modify.

6. Na página Modify HTTPS Settings, ative a chave HTTPS Secure Acceleration e configure os parâmetros do certificado. A ativação da HTTPS Secure Acceleration gera cobranças com base no número de requisições HTTPS.

   • Caso tenha adquirido um certificado no Certificate Management Service, selecione Certificate Management Service e escolha o certificado comprado na lista suspensa Certificate Name. É possível implantar certificados adquiridos no Certificate Management Service em lote na plataforma CDN. Para mais informações, consulte Configure HTTPS certificates in batches.

     Nota

     Se não encontrar seu certificado, verifique se o nome de domínio vinculado a ele é idêntico ao nome de domínio acelerado.

   • Para certificados de provedores terceiros, selecione Custom Certificate (Certificate+Private Key). Em seguida, especifique um Certificate Name e cole o conteúdo do seu Certificate (Public Key) e da Private Key. O certificado será salvo no Alibaba Cloud Certificate Management Service e poderá ser visualizado na página My Certificates.

     O recurso de Upload Personalizado possui requisitos rigorosos de formato para o Certificate (Public Key) e a Private Key. Se encontrar erros de configuração ou não compreender os exemplos fornecidos, consulte Upload a custom certificate para processar o Certificate (Public Key) e a Private Key antes de fazer o upload.

     Parâmetro	Descrição
     Certificate Name	Insira um nome para o certificado que será enviado. O nome pode conter apenas letras, pontos (.), dígitos, sublinhados (_) e hifens (-). O nome deve ser único.
     Certificate (Public Key)	Insira o conteúdo codificado em PEM do arquivo de certificado obtido na Etapa 1.
     Private Key	Insira o conteúdo codificado em PEM da chave privada obtido na Etapa 1. Como as informações da chave privada são sensíveis, elas não podem ser visualizadas ou exportadas pelo console após o upload. Mantenha a chave privada armazenada adequadamente em nível local.

7. Clique em OK.

Configurar via API ou CLI

Chame a operação de API SetCdnDomainSSLCertificate.

Abaixo está um exemplo de comando caso utilize o Alibaba Cloud CLI:

aliyun cdn set-cdn-domain-ssl-certificate \
  --domain-name <your_accelerated_domain_name> \
  --cert-name <certificate_name> \
  --cert-id <certificate_ID> \
  --cert-type cas \
  --ssl-protocol on \
  --region cn-hangzhou

Para enviar um certificado personalizado, especifique os parâmetros ssl-pub (chave pública) e ssl-pri (chave privada), e defina o parâmetro cert-type como upload. Veja a seguir um exemplo de comando:

aliyun cdn set-cdn-domain-ssl-certificate \
  --domain-name example.com \
  --cert-name yourCertName \
  --cert-type upload \
  --ssl-protocol on \
  --ssl-pub "<PEM-encoded_public_key_content>" \
  --ssl-pri "<PEM-encoded_private_key_content>" \
  --region cn-hangzhou

Enviar um certificado personalizado

Caso possua um certificado emitido por um provedor terceiro ou um certificado autoassinado, prepare o certificado e a chave privada em um formato suportado antes de fazer o upload.

• Certificado (chave pública)

  O CDN suporta apenas certificados no formato PEM. Para converter outros formatos, consulte Convert the format of a certificate. Os requisitos de upload variam conforme a autoridade certificadora (CA):

  • Certificados emitidos por uma CA raiz (um arquivo de certificado)

    Abra o arquivo de certificado PEM em um editor de texto. Faça o upload de todo o conteúdo, incluindo as linhas que começam com -----BEGIN CERTIFICATE----- e terminam com -----END CERTIFICATE-----.

    -----BEGIN CERTIFICATE-----
    [Certificate content]
    -----END CERTIFICATE-----

  • Certificados emitidos por uma CA intermediária (vários arquivos de certificado)Concatene o certificado do servidor e todos os certificados da CA intermediária, em ordem, em um único arquivo de cadeia de certificados. O conteúdo do arquivo deve seguir este formato:

    -----BEGIN CERTIFICATE-----
    [Server certificate content]
    -----END CERTIFICATE-----
    -----BEGIN CERTIFICATE-----
    [Intermediate CA certificate content]
    -----END CERTIFICATE-----

• Chave privadaA extensão de arquivo para uma chave privada geralmente é .key ou .pem. Abra o arquivo da chave privada em um editor de texto. Os requisitos de upload diferem conforme o formato da chave privada:

  • Enviar uma chave privada RSA diretamente

    Se a chave privada começar com -----BEGIN RSA PRIVATE KEY----- e terminar com -----END RSA PRIVATE KEY-----, envie o conteúdo da chave privada diretamente.

    -----BEGIN RSA PRIVATE KEY-----
    [Private key content]
    -----END RSA PRIVATE KEY-----

  • Converter outros formatos de chave privada antes do upload

    Se sua chave privada começar com -----BEGIN PRIVATE KEY----- e terminar com -----END PRIVATE KEY-----, primeiro converta a chave usando um comando OpenSSL. Depois, envie o conteúdo da chave privada convertida conforme descrito na seção Enviar uma chave privada RSA diretamente. No comando, old_server_key.pem é a chave privada original e new_server_key.pem é a chave privada convertida.

    # Private key to be converted
    -----BEGIN PRIVATE KEY-----
    [Private key content]
    -----END PRIVATE KEY-----

    # Conversion command
    openssl rsa -in old_server_key.pem -out new_server_key.pem

  • Ao baixar ou solicitar um certificado de um provedor terceiro, atente-se às seguintes distinções de arquivos:

    • Geralmente, o arquivo .pem ou .crt contém a chave pública (conteúdo do certificado), enquanto o arquivo .key ou .private contém a chave privada.

    • Durante o upload, cole o conteúdo do arquivo de chave pública (.pem ou .crt) no campo "certificate (public key)" e o conteúdo do arquivo de chave privada (.key ou .private) no campo "private key".

    • Não envie um arquivo CSR. Uma Solicitação de Assinatura de Certificado (CSR) serve apenas para solicitar um certificado junto a uma autoridade certificadora e não pode ser usada como certificado ou chave privada.

    • Se estiver utilizando um certificado no formato Nginx, garanta o seguinte:

      1. O conteúdo do arquivo de certificado está no formato PEM e começa com -----BEGIN CERTIFICATE-----.

      2. O conteúdo do arquivo de chave privada está no formato PEM e começa com -----BEGIN RSA PRIVATE KEY----- ou -----BEGIN PRIVATE KEY-----.

      3. O certificado e a chave privada correspondem entre si.

      4. Remova quaisquer espaços extras, quebras de linha ou caracteres fora do padrão dos arquivos.

    • Se a cadeia de certificados estiver incompleta, combine o certificado intermediário com o certificado principal em um único arquivo antes de fazer o upload. Para mais informações, consulte Certificate format.

Verificar a configuração HTTPS

• Verificação pelo navegador: Acesse https://your-accelerated-domain-name no navegador. Um ícone de cadeado na barra de endereços com detalhes válidos do certificado indica que a configuração foi bem-sucedida.

• Verificação por linha de comando: Execute curl -I https://your-accelerated-domain-name. Um código de status 200 confirma que o service HTTPS está ativo.

Desativar a aceleração HTTPS

É possível desativar o recurso a qualquer momento no console do CDN. A alteração entra em vigor imediatamente. Após a desativação, os clientes não poderão mais acessar recursos via HTTPS, e as informações do certificado e da chave privada serão removidas.

Para reativar a aceleração segura HTTPS, selecione e configure um certificado novamente.

Faturamento

A ativação da HTTPS Secure Acceleration gera taxas adicionais.

• Item faturável: Requisições HTTPS estáticas. Essa taxa é separada das tarifas de transferência de dados do CDN e baseia-se no número total de requisições HTTPS estáticas em todos os nomes de domínio acelerados da sua conta.

• Métodos de faturamento: São suportados tanto o pagamento conforme o uso.

• Aviso de custos: Planos de transferência de dados do CDN não podem ser usados para compensar cobranças de requisições HTTPS.

Referências

FAQ

• Para erros de configuração HTTPS, problemas de upload de certificado e falhas de acesso, consulte HTTPS troubleshooting guide.

• Para perguntas frequentes relacionadas a certificados HTTPS, consulte HTTPS FAQ.

APIs relacionadas