接入CDN后，HTTPS往往被当成可选项，直到浏览器地址栏出现不安全标识，或者登录接口被运营商植入广告，才开始紧急补证书。腾讯云CDN的HTTPS能力依赖边缘节点上的SSL/TLS卸载与回源策略，配置前需要先理清证书从哪来、放在哪、怎么验。下面不会直接给截图，而是从原理和操作两个层面，把自有证书上传和托管证书申请这两条路径完整拆开说明。
证书类型选择与准备工作
腾讯云CDN支持上传PEM格式的证书和私钥。PEM是一种基于Base64编码的文本格式，内容以-----BEGIN CERTIFICATE-----和-----END CERTIFICATE-----包裹。常见的.crt、.cer、.pem文件都可以视为PEM或可转换为PEM。上传时，服务器证书需要与中间证书拼接在一起，形成完整的证书链，否则部分手机端或旧版本浏览器会因为无法验证中间证书而报错。
自有证书与托管证书的区别在于维护责任。自有证书通常来自第三方CA或企业自建PKI，需要自己记录到期时间、手动更新并重新上传；托管证书则依托腾讯云SSL证书服务，可以直接在控制台申请免费证书或付费证书，证书到期前自动续期，并自动同步到CDN节点。对于不具备专职运维人员的小团队，托管证书能显著降低证书过期导致的业务中断风险。
准备证书时，建议先用OpenSSL验证私钥与证书是否匹配，以及证书链是否完整。下面命令分别检查私钥有效性和证书有效期：
openssl rsa -in private.key -check -noout openssl x509 -in certificate.pem -noout -dates
如果私钥设置了密码，需要先去掉密码，因为CDN控制台上传私钥时要求私钥为明文无密码状态。可以执行openssl rsa -in encrypted.key -out decrypted.key进行转换。
自有证书上传与域名关联
自有证书上传流程比较直接。进入腾讯云CDN控制台后，在证书管理页面找到上传证书入口，填写证书名称、证书内容以及私钥内容。证书内容应当包含服务器证书和中间证书，顺序通常是服务器证书在前，中间证书在后，中间不能有空行或注释。私钥内容必须与证书匹配，否则提交时会提示校验失败。
上传完成后，进入域名管理的HTTPS配置模块，选择该域名需要使用的证书。如果账号下有多张证书，需要仔细核对证书对应的域名。开启HTTPS后，CDN边缘节点会使用该证书与客户端完成TLS握手，同时支持HTTP/2协议加速。开启HTTPS并不影响HTTP访问，两者可以并存，是否强制跳转需要单独配置。
如果手里是.pfx或.p12格式的证书，可以先用OpenSSL拆出证书和私钥。以下命令从PFX文件提取证书和私钥：
openssl pkcs12 -in certificate.pfx -clcerts -nokeys -out certificate.pem openssl pkcs12 -in certificate.pfx -nocerts -nodes -out private.key
提取过程中会要求输入PFX的导出密码。得到PEM证书和明文私钥后，再按照控制台指引上传即可。
托管证书申请与自动部署
托管证书的优势在于申请、续期和部署可以形成闭环。在腾讯云SSL证书控制台选择免费证书或付费证书，填写需要申请证书的域名。免费证书目前支持单域名，不支持泛域名，有效期通常较短；付费证书则支持泛域名、多域名以及更加完善的保险与技术支持。申请时需要验证域名归属权，防止证书被冒领。
域名验证有两种常用方式。DNS验证要求添加一条TXT解析记录，记录值由控制台生成。文件验证则要求将指定文件上传到站点根目录的/.well-known/pki-validation/路径下。DNS验证适合域名解析已经在腾讯云DNSPod或其他支持TXT记录的DNS服务商的情况，生效速度较快。验证通过后，CA机构会自动签发证书，通常几分钟内即可完成。
证书签发成功后，回到CDN控制台的域名HTTPS配置页面，在证书来源中选择托管证书，并选择刚签发的证书。开启自动部署后，证书续期时会自动更新到CDN节点，无需人工干预。托管证书与CDN的联动，免去了自有证书需要手动替换的步骤，对于证书数量较多的业务尤其省事。
以下是一个DNS验证的TXT记录示例，实际值以控制台显示为准：
_dnsauth.ipipp.com TXT 202309171234567890abcdefghijklmnop
HTTPS强制跳转与回源策略
开启HTTPS后，HTTP请求不会自动跳到HTTPS，用户手动输入域名时依然可能走HTTP。为了统一访问入口，建议在CDN控制台开启强制跳转，选择301永久重定向。301会告诉搜索引擎该网址已永久迁移，有利于权重集中；302临时重定向则适合短期测试场景。配置完成后，所有HTTP请求会由CDN边缘节点直接返回跳转响应，不会回源，浏览器会重新向HTTPS地址发起请求。
回源协议需要根据源站实际配置选择。如果源站已经部署证书，推荐使用HTTPS回源，保证CDN到源站之间的链路也加密，避免被中间人篡改。如果源站没有证书，则只能选择HTTP回源，但要注意源站暴露在公网时存在被监听风险。回源协议与用户访问协议可以不同，例如用户访问HTTPS，但CDN回源走HTTP，这在性能上略有优势，但安全性会打折扣。
对于安全性要求更高的站点，可以配置HSTS响应头，强制客户端在后续请求中直接使用HTTPS，减少首次跳转带来的风险。如果源站使用Nginx，可以参考以下配置示例：
server {
listen 443 ssl;
server_name ipipp.com;
ssl_certificate /etc/nginx/ssl/certificate.pem;
ssl_certificate_key /etc/nginx/ssl/private.key;
add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;
location / {
proxy_pass http://127.0.0.1:8080;
}
}
配置HSTS后，客户端会在本地缓存该策略，期间不会再发起HTTP请求。需要注意的是，HSTS一旦生效就不容易回退，启用前应确认所有子域名都支持HTTPS。
证书更新与常见报错排查
自有证书到期前需要手动更新。更新时先在证书管理页面上传新证书，然后在域名HTTPS配置中替换为新证书。如果多个域名共用同一张证书，可以在证书管理页面批量关联，减少重复操作。托管证书则无需手动处理，只要域名验证信息未失效，系统会在到期前自动续期并更新到CDN节点。
配置过程中最常见的报错是证书与私钥不匹配。可以用OpenSSL计算两者模数是否一致：
openssl x509 -in certificate.pem -noout -modulus | openssl md5 openssl rsa -in private.key -noout -modulus | openssl md5
两条命令输出的MD5值相同，说明证书和私钥匹配；不同则说明私钥不是该证书对应的私钥，需要重新生成或找到正确的私钥文件。另一个常见问题是证书链不完整，表现为桌面浏览器访问正常，但手机浏览器或小程序请求失败。这种情况需要把中间证书拼接到服务器证书后面，重新上传。
证书域名不匹配也是高频问题。如果CDN域名是cdn.ipipp.com，而证书只覆盖ipipp.com，浏览器会提示证书无效。此时需要申请包含cdn.ipipp.com的证书，或者使用泛域名证书。排查时可以用openssl x509 -in certificate.pem -noout -subject -ext subjectAltName查看证书覆盖的域名列表。
除了常规证书校验，CDN边缘节点还支持OCSP装订、TLS1.2与TLS1.3协议，可以在控制台根据业务兼容性进行调整。如果某些旧客户端只支持TLS1.0，而业务又必须兼容，需要在配置中保留较低版本协议。但从安全角度，建议尽量只保留TLS1.2及以上版本，并定期检查证书到期时间，避免因证书过期导致用户无法访问。