Certificate Management Service:Por que a implantação do meu certificado SSL falhou?

O tráfego HTTPS utiliza a porta 443. Se essa porta estiver bloqueada, os navegadores não conseguirão estabelecer uma conexão segura.

Se você usar uma instância ECS da Alibaba Cloud, verifique as regras do grupo de segurança:

1. Acesse a página ECS console Security Groups.

2. Verifique se a porta 443 permite tráfego de entrada.

Para obter detalhes sobre como gerenciar regras de grupo de segurança, consulte Manage security groups.

Se você usar o Web Application Firewall (WAF), verifique se o WAF não está bloqueando o acesso externo à porta 443:

1. Faça login no console do Web Application Firewall 3.0. Na barra de menu superior, selecione o grupo de recursos e a região (Chinese Mainland ou Outside Chinese Mainland) da instância do WAF.

2. No painel de navegação à esquerda, clique em Onboarding.

3. Na aba CNAME Record, confirme se o acesso externo à porta 443 está permitido.

Se o seu domínio estiver atrás de uma Content Delivery Network (CDN) ou Web Application Firewall (WAF) atuando como proxy de camada 7, implantar o certificado SSL apenas no servidor de origem não é suficiente. Configure o certificado também no service de CDN.

• Na página Certificate Service do console de CDN, configure o certificado HTTPS para o seu nome de domínio acelerado.

• Adicione o nome de domínio principal como um nome de domínio acelerado no console de CDN para obter seu CNAME dedicado. Não reutilize o CNAME de um subdomínio www para o nome de domínio principal.

• Caso receba um erro 502 após configurar a CDN, acesse as configurações de origem da CDN, ative Origin SNI, defina-o para corresponder ao cabeçalho Host de origem e configure o protocolo de origem como Follow.

Caminhos mal configurados ou a falta de reinicialização do service estão entre as causas mais comuns de falhas na implantação.

• Verifique se o caminho e o nome do arquivo de certificado no arquivo de configuração correspondem ao local real no disco. O exemplo NGINX abaixo mostra os campos relevantes:

  server {
      # Port 443 is the default port for HTTPS
      listen 443 ssl;
      server_name example.com;
  
      # Replace these paths with your actual certificate and private key paths
      ssl_certificate /etc/nginx/ssl/example.com.crt;
      ssl_certificate_key /etc/nginx/ssl/example.com.key;
  
      # Other configuration...
  }

• Confirme se o arquivo de configuração foi salvo após a edição.

• Reinicie o servidor web para aplicar as alterações:

  • NGINX: ``bash sudo nginx -s reload ``

  • Apache HTTP Server: ``bash sudo systemctl restart httpd ``

1. Faça login no console do Certificate Management Service.

2. No painel de navegação à esquerda, escolha Certificate Management > SSL Certificate Management V2.0.

3. Na página SSL Certificate Management V2.0, localize seu certificado e verifique:

   • Se o Status é Issued

   • Se os Bound Domains listam o domínio correto

Se o certificado tiver expirado, renove-o. Para etapas de renovação, consulte SSL Certificate Renewal and Expiration Handling.

Se você usar um certificado autoassinado, o navegador exibirá um aviso porque certificados autoassinados não são confiáveis por padrão. Para verificar o status de confiança no Google Chrome:

1. Abra o site no Chrome.

2. Clique no ícone na barra de endereços. A ausência de um ícone de aviso significa que o navegador confia no certificado. Um ícone vermelho indica que ele não é confiável.

1. Clique no ícone para obter detalhes. Se o certificado não for confiável, a janela de informações do certificado exibirá um aviso.

Se você usar um certificado comercial, confirme se ele foi emitido por uma Autoridade Certificadora (CA) confiável. Para verificar no Chrome:

1. Clique no ícone na barra de endereços.

2. Clique em Connection is secure.

3. Clique em Certificate (Valid). Um certificado emitido por uma CA confiável não exibe avisos.

Na janela de informações do certificado, localize o campo Issuer e confirme se o nome comum (CN) e o nome da organização (O) correspondem a uma CA conhecida.

Se o DNS não apontar para o IP correto do servidor, as conexões HTTPS serão direcionadas ao host errado e o certificado não corresponderá.

1. Faça login no console do Alibaba Cloud DNS.

2. Na página Public Zone, na aba Authoritative Domain Names, clique no nome de domínio para abrir a página Settings.

1. Clique em Add Record e verifique se o Record Value corresponde ao endereço IP do seu servidor. Se não corresponder, clique em Edit para atualizá-lo.

As alterações de DNS podem levar algum tempo para propagar. Se você atualizou recentemente as configurações de DNS, limpe o cache de DNS local e tente novamente.

Os navegadores podem armazenar em cache dados antigos de certificados. Limpe o cache do navegador e visite o site novamente, ou abra o site no modo anônimo (Chrome) ou no modo InPrivate (Microsoft Edge) para ignorar o cache.

Importância: Os navegadores verificam toda a cadeia, desde o certificado raiz até o certificado do servidor. A ausência de um certificado intermediário causa avisos de certificado não confiável, especialmente em navegadores Android que não suportam a busca de certificados intermediários via URLs de Authority Information Access (AIA).

A cadeia de certificados deve seguir esta ordem:

-----BEGIN CERTIFICATE-----
Website certificate
-----END CERTIFICATE-----

-----BEGIN CERTIFICATE-----
CA intermediate certificate
-----END CERTIFICATE-----

-----BEGIN CERTIFICATE-----
CA root certificate
-----END CERTIFICATE-----

A ordem da cadeia é: certificado do site > certificado intermediário da CA > certificado raiz da CA. Uma cadeia de certificados intermediários pode ter várias camadas.

Importância: Ao gerar uma Solicitação de Assinatura de Certificado (CSR), uma chave privada é criada simultaneamente. Apenas a chave privada correspondente funciona com esse certificado. Carregar uma chave privada incompatível faz com que o handshake HTTPS falhe.

Para verificar a correspondência em um sistema Linux:

1. Faça login na sua instância ECS e acesse o diretório de instalação do certificado:

   # Replace /ssl with your actual certificate installation path
   cd /ssl

2. Obtenha o hash MD5 da chave pública do certificado:

   # Replace your_certificate.pem with your actual PEM file name
   sudo openssl x509 -in your_certificate.pem -noout -pubkey | openssl md5

3. Obtenha o hash MD5 da chave pública da chave privada:

   # Replace your_private_key.key with your actual private key file name
   sudo openssl rsa -in your_private_key.key -pubout | openssl md5

4. Compare os dois hashes MD5. Se forem iguais, a chave privada corresponde ao certificado.

Se a chave privada for perdida ou corrompida, gere um novo par de chaves e solicite um novo certificado.

O formato do certificado e o conjunto de cifras devem ser compatíveis com os principais navegadores.

• Use uma CA confiável. Os principais navegadores confiam automaticamente em certificados de CAs conhecidas.

• Use o formato X.509. Verifique o formato do certificado com o seguinte comando:

  # Replace /ssl/your_certificate.pem with your actual installation path
  sudo openssl x509 -in /ssl/your_certificate.pem -text -noout

  Se o certificado estiver no formato X.509, o comando retornará versão, número de série, algoritmo de assinatura, emissor, período de validade e detalhes da chave pública:

  Certificate:
      Data:
          Version: 3 (0x2)
          Serial Number:
               01:23:45:67:89:ab:cd:ef:01:23:45:67:89:ab:cd:ef
          Signature Algorithm: sha256WithRSAEncryption
          Issuer: C = US, O = DigiCert Inc
          Validity
              Not Before: Jan 17 00:00:00 2025 GMT
              Not After : Jan 17 23:59:59 2026 GMT
          Subject: CN = example.com
          Subject Public Key Info:
              Public Key Algorithm: rsaEncryption
                  RSA Public-Key: (2048 bit)
                  ......

  Salve o certificado e a cadeia de certificados intermediários no formato PEM (arquivos .crt ou .pem).

• Use conjuntos de cifras modernos. Configure o servidor para usar TLS 1.2 ou TLS 1.3 e desative protocolos e algoritmos inseguros: SSL 2.0, SSL 3.0, TLS 1.0, TLS 1.1, RC4 e 3DES.

• Teste o site em vários navegadores e dispositivos para confirmar a compatibilidade.

O processo do servidor web precisa ter permissão de leitura dos arquivos de certificado. Se as permissões forem muito restritivas, o servidor não conseguirá carregar o certificado.

Para verificar e definir permissões em um servidor Linux:

1. Visualize as permissões do diretório:

   • O primeiro caractere (d) indica um diretório

   • Os três caracteres seguintes (rwx) são as permissões do proprietário: leitura, escrita, execução

   • Os três do meio (r-x) são as permissões do grupo: leitura, execução

   • Os três últimos (r-x) são as permissões para outros usuários: leitura, execução

   # Replace /ssl with your actual certificate directory path
   sudo ls -ld /ssl

   A saída será semelhante a drwxr-xr-x, onde:

2. Confirme se existem permissões de leitura (r) e execução (x) para o usuário ou grupo que executa o servidor web. A permissão de execução em um diretório permite que os usuários acessem seu conteúdo (por exemplo, com cd).

3. (Opcional) Para atualizar as permissões, execute:

   # Replace /ssl with your actual certificate directory path
   sudo chmod 750 /ssl

   A permissão 750 concede ao proprietário acesso de leitura, escrita e execução; ao grupo, acesso de leitura e execução; e nenhum acesso a outros usuários.

As implementações de sites variam. Revise os arquivos de log do servidor web e do aplicativo em busca de mensagens de erro relacionadas a SSL para identificar a causa raiz. Se o problema persistir, entre em contato com seu gerente de conta .