常見問題

SSL CSR、私鑰與憑證檔案

• 什麼是 CSR？ .

  CSR（憑證簽署要求）是申請 SSL 憑證時提交給憑證中心的資料，內容包含公開金鑰、申請網域及部分申請資訊。

  憑證中心會依 CSR 中的公開金鑰核發相對應的 SSL 憑證。但 CSR 本身不是憑證，也不能直接安裝於網站上使用。

• 申請 SSL 前一定要產生 CSR 嗎？ .

  不一定。申請者可視情況選擇自行提前產生，或於 Cloudmax 匯智 SSL 憑證下單流程中，選擇由 Cloudmax 匯智採系統線上產生 CSR。

  若由主機管理人員或系統管理人員自行產生 CSR，申請時需將完整的 CSR 內容提供至 SSL 管理平台，並妥善保存與 CSR 配對的私鑰。

  透過 Cloudmax 匯智申請時，系統會依申請方式與提供的資訊，自動協助產生 CSR 與相關憑證安裝檔。

  實際採取的方式依主機環境、安裝需求及私鑰管理方式選擇。

• CSR 可以重複使用嗎？ .

  技術上可以，但必須仍持有與該 CSR 配對的私鑰。通常考量金鑰安全與後續管理，憑證重新核發、私鑰遺失、私鑰疑似外洩或更換主機時，通常建議重新產生 CSR 與私鑰，避免長期重複使用同一組金鑰。

  進行憑證重置或重新核發時，可選擇沿用原有的 CSR 與私鑰，也可重新產生 CSR 及新的私鑰。若是因私鑰遺失、疑似外洩或需要更換金鑰而重新核發，則應使用新的 CSR。

• CSR 中的網域名稱填錯怎麼辦？ .

  需先確認填錯的是 CSR 內容，還是訂單所申請的網域。

  若訂單網域正確，但 CSR 內容有誤，可在憑證核發前重新產生並更換 CSR；若憑證已核發，則需透過重新核發方式更換。

  若是訂單申請的網域本身填寫錯誤，則不能只靠更換 CSR 修改。憑證重置或重新核發時，不得更換原訂單所申請的網域。

  SSL 憑證於下單時，務必確認此張憑證要使用的網域正確性，若不小心申請錯誤，尚未付款前可重新申請，若已付款且已進行審核、核發，需視改方案的服務政策來判斷處理方式，可透過 Cloudmax 匯智 LINE 官方帳號 (https://line.me/R/ti/p/@cloudmax) 與我們聯繫，我們將協助您確認處理方式。

• 什麼是私鑰？私鑰是怎麼產生的？ .

  私鑰是安裝及使用 SSL 憑證時所需的機密資料，必須與所申請的憑證相互配對。

  產生 CSR 時，系統會同時產生 CSR 與私鑰（Private Key），但兩者是分開的資料：

  • CSR：用於向憑證中心申請 SSL 憑證。
  • 私鑰：於憑證核發後，搭配憑證進行安裝與使用，不會包含在 CSR 中。

  若下單時選擇由 Cloudmax 匯智協助產生，填寫申請表單後，系統將為您產生 CSR 與私鑰。

  私鑰務必妥善保存，並僅提供給負責憑證安裝與管理的授權人員使用。若私鑰遺失，可能導致憑證無法於其他主機或設備上重新安裝；若私鑰外洩，則可能遭未授權人員冒用，產生網站與資料安全風險。

  遇到上述情況時，應重新產生 CSR 與私鑰，並重新核發憑證，以確保憑證及網站連線安全。

• 私鑰與 SSL 憑證有什麼關係？ .

  SSL 憑證中包含公開金鑰及網域等憑證資訊；私鑰則由網站伺服器保管，用於證明伺服器身分並完成安全連線。

  憑證與私鑰兩者必須成對；錯用其他私鑰時，憑證會因金鑰不相符而無法完成憑證安裝或正常啟用 HTTPS。

• 私鑰遺失後可以重新下載嗎？ .

  需視私鑰的產生方式而定。

  若 CSR 與私鑰是在客戶自己的主機或設備上產生，私鑰通常只會保存在原主機或原設備中，憑證中心及 Cloudmax 匯智無法從 CSR 或已核發的憑證中還原私鑰。

  若由 Cloudmax 匯智平台協助產生憑證安裝檔，請妥善保存匯智提供的安裝檔及密碼。如安裝檔、密碼或私鑰遺失，請洽詢 Cloudmax 匯智協助確認處理方式；通常採取重新產生 CSR 與私鑰，重新核發憑證方式可解決。

• 私鑰外洩會有什麼風險？ .

  私鑰屬於高度機密資料。若私鑰與憑證遭未授權人員取得，可能被用於冒用您的網站身分，進而造成網站與資料安全風險。

  若發現或懷疑私鑰外洩，應立即停止使用該組金鑰，並聯繫 Cloudmax 匯智或憑證管理人員，重新產生 CSR 與私鑰、重新核發憑證，並撤銷原憑證。

• 什麼是憑證鏈或中繼憑證？ .

  瀏覽器在確認網站憑證是否可信任時，會依序檢查網站憑證、中繼憑證，以及瀏覽器或作業系統已信任的根憑證，這一連串的信任關係稱為「憑證鏈」。

  若伺服器未正確安裝中繼憑證，部分瀏覽器、手機或設備可能無法建立完整的信任鏈，並顯示憑證不受信任或憑證鏈不完整等警示。

• CRT、CER、PEM、PFX／P12 有什麼差別？ .

  這些是常見的憑證檔案格式或副檔名：

  • CRT／CER：常用於網站憑證或中繼憑證，但實際內容可能採不同的編碼格式，不能只靠副檔名判斷。
  • PEM：常見的文字格式，內容通常會出現 BEGIN CERTIFICATE、BEGIN PRIVATE KEY 等標示，可用於存放憑證、私鑰或憑證鏈。
  • PFX／P12：可將網站憑證、私鑰及中繼憑證封裝在同一個檔案中，通常會設定密碼保護，常用於 IIS、Windows 伺服器或部分主機管理平台。

  安裝時應依主機、伺服器或設備要求，選擇正確的檔案格式。

• 為什麼不同主機需要不同格式的憑證檔案？ .

  不同的伺服器、主機管理平台及網路設備，使用的憑證安裝方式不完全相同。

  例如 Apache、Nginx 通常會分別使用憑證、私鑰及中繼憑證檔案；IIS 或部分 Windows 環境則常使用包含私鑰及憑證鏈的 PFX／P12 檔案。

  若使用 Cloudmax 匯智提供並管理的虛擬主機或高效能主機（實體機、伺服器、bare metal server, dedicated server）、 GCP / Azure 等公有雲，Cloudmax 匯智會依主機環境協助確認適合的憑證格式及安裝方式。

• 更換主機時，可以沿用原本的憑證嗎？ .

  可以。只要原憑證仍在有效期限內、使用的網域相同，並能取得配對的私鑰、網站憑證及完整憑證鏈，即可依新主機需要的格式進行匯入或安裝。

  移轉完成後，應確認原主機不再保留或使用不必要的私鑰副本，以降低私鑰外洩風險。

  若無法取得原私鑰，或新主機不適用原有安裝方式，通常需重新產生 CSR 與私鑰，再透過憑證重新核發取得新的安裝檔。