ssl - 一个域上的多个 SSL 证书

Question

我们使用 nginx 终止 SSL 并每年轮换 ssl 证书。但是每当我们轮换时，我们都会向用户发送有关应用更改的日期和时间的通知，并且他们必须同时在他们的端进行更改。很少有客户使用的企业工具很少，他们需要在他们的信任库中加载相同的证书。

所以我想检查是否有任何方法可以在一个域上临时部署两个证书，比如一个星期。在此期间，两个证书都有效，因此客户可以在此期间转移到更新的证书。可能是某种证书链或可以帮助我们解决此问题的东西。

PS:如果听起来太蠢，我很抱歉，只是想听听其他人对这个问题的看法。

谢谢，格格

Answer 1

虽然可以向对等方发送任意数量的证书(这就是您在发送中间证书时所做的)，但预计与主机名匹配的证书是第一个，随后是按正确顺序排列的链证书。客户不会只是查看所有证书并选择看起来最好的证书。

但是你应该可以提前给客户端新的证书，它可以将这个添加到受信任的证书列表中，而不用替换旧的。只要您提供旧证书，客户端就会发现它是可信的，一旦您转移到新证书，客户端也会发现它是可信的。

更好的方法可能是使用您自己的 CA 来颁发所有证书。然后客户端只需将此 CA 安装为受信任的一次，然后它将自动信任此 CA 颁发的任何新证书，无论您是每年还是每天轮换。这就是它在浏览器中的工作方式，其中谷歌或其他不需要将新证书发送到所有浏览器，而是这些由浏览器信任的 CA 签名。