SSL证书申请

一. 单域名证书的生成方式

1. 生成私钥

openssl genrsa -out example.key 2048

2. 生成CSR（填写单域名）

openssl req -new -key example.key -out example.csr

交互时的 CN 填写

Common Name (e.g. server FQDN or YOUR name) []: www.example.com

二. 通配符证书的生成方式

1. 生成私钥

openssl genrsa -out wildcard_example.key 2048  （和单域名一模一样）

2. 生成CSR（填写通配符）

openssl req -new -key wildcard_example.key -out wildcard_example.csr

交互时的 CN 填写：

Common Name (e.g. server FQDN or YOUR name) []: *.example.com

（注意那个*.必须写上）

小提醒！

通配符证书 只匹配一级子域名，比如：

a.example.com

b.example.com 

deep.a.example.com ❌（二级子域名不行）

申请通配符证书时，一般需要用DNS方式验证域名
（因为HTTP验证搞不了*.的泛解析）

验证证书和私钥是否匹配

openssl rsa -noout -modulus -in mydomain.key | openssl md5
(stdin)= 1a2b3c4d5e6f7g8h9i0j

openssl x509 -noout -modulus -in mydomain.crt | openssl md5
(stdin)= 1a2b3c4d5e6f7g8h9i0j