添加 GoDaddy SSL 证书到你的网站

为了信息安全,一般网站的用户注册和登录过程会使用加密的 HTTP(即HTTPS)传输用户的帐号和密码,这样可以防止“中间人”盗取帐号资料,这篇文章简述为网站添加SSL证书从而实现 HTTPS 的方法和步骤。下面假如你网站是用 Tomcat 直接搭建的,那么只需如下几个步骤即可:

  1. 购买 SSL 证书。
  2. 在你的服务器上生成一个私密钥匙(Private Key)。
  3. 在 SSL 证书销售商那里签名你的 Key。
  4. 将已签名的证书导入 Tomcat KeyStore。
  5. 修改 Tomcat 的配置并重启 Tomcat 服务。

下面详细展开每个步骤

1、购买 SSL 证书

为网站添加 HTTPS 功能第一步需要购买一个SSL认证证书,目前使用比较广泛SSL证书认证商有:VeriSignThawte。不过这些认证商的证书价格不菲,假如你的网站只是想提供加密传输,对安全要求不是非常高,则可以考虑购买 GoDaddy 的廉价SSL证书,目前报价是 $49.99/年,你可以通过这个推销链接以 $12.99/年买到。

2、生成私密钥匙

使用OpenSSL工具可以很容易生成私钥,不过由于我们准备给Tomcat使用,所以直接使用 Java 自带的 keytool 工具。
转到一个 Tomcat 有权限访问的目录,运行

$ keytool -keysize 2048 -genkey -alias tomcat -keyalg RSA -keystore tomcat.keystore

然后它会提示你设置一个密码以及输入DN信息:

Enter keystore password:  设置一个用于保护你keystore文件的密码,例如123456
Re-enter new password: 重复上面的密码
What is your first and last name?
  [Unknown]:  yourdomain.com 输入你网站的域名,注意Godaddy的证书一个只能签名一个域名,也就是说 abc.com 和 www.abc.com 不是同一个域名,这里应该填写你准备签名的那一个域名。
What is the name of your organizational unit?
  [Unknown]:  Networking 组织单位名称(随便)
What is the name of your organization?
  [Unknown]:  yourdomain.com 组织名称(随便)
What is the name of your City or Locality?
  [Unknown]:  Shenzhen 所在城市(随便)
What is the name of your State or Province?
  [Unknown]:  Guangdong 所在省份(随便)
What is the two-letter country code for this unit?
  [Unknown]:  CN 所在国家的两位代号(随便)
Is CN=www.yourdomain.com, OU=Networking, O=yourdomain.com, L=Shenzhen, ST=Guangdong, C=CN correct?
  [no]:  yes 以上信息正确则输入yes

Enter key password for
    (RETURN if same as keystore password): 这一步直接敲回车

完成后会在当前目录产生一个 tomcat.keystore 文件。

顺便提一下,如果你的网站只在内网自己公司使用,实际上现在的这个 keystore 文件已经可以给 tomcat 使用了,直接跳到第5步即可,不过用浏览器访问你的网站时会提示证书错误(因为没有通过可靠证书销售商签名的缘故)。

回到主题,接着根据此 keystore 文件生成签名请求文件(CSR):

$ keytool -certreq -keyalg RSA -alias tomcat -file tomcat-yourdomain.csr -keystore tomcat.keystore

同样地,当它问起密码时,输入刚才设置的密码即可,完成后你会得到一个 tomcat-yourdomain.csr 文件。

3、到证书销售商签名你的私钥

登录到你购买 SSL 证书商(这里是 GoDaddy),根据提示进入输入 CSR  的页面,用文本编辑器打开刚才生成的 tomcat-yourdomain.csr 文件,把里面的文本内容复制粘贴到页面的表单里即可。SSL 证书商会根据你的域名发送一封验证邮件到域名注册者的Email(所以你要提前注意你的域名注册的Email地址是什么,如果是错误的话需要先修正,否则收不到验证Email)。这个过程可能需要几分钟或者几小时,收到验证Email之后点击里面的链接地址就完成私钥签名了。

4、将证书导入 Tomcat Keystore

登录到你购买 SSL 的证书商,下载你的网站已签名的证书文件,在 GoDaddy 里你下载会得到一个压缩包,里面放有你的网站证书文件 yourdomain.com.crt,另外还有 GoDaddy 自己的证书(gd_cross_intermediate.crt,gd_intermediate.crt,gd_bundle.crt),这些都需要导入 tomcat 的 keystore 里的。
GoDaddy 的官方教程有些许错误,经过实验发现正确的过程如下:
a、到这里下载 valicert_class2_root.crt 文件,并导入到 tomcat.keystore:

$ keytool -import -alias root -keystore tomcat.keystore -trustcacerts -file valicert_class2_root.crt

b、导入 gd_cross_intermediate.crt,gd_intermediate.crt 和你网站的证书 yourdomain.com.crt:

$ keytool -import -alias cross -keystore tomcat.keystore -trustcacerts -file gd_cross_intermediate.crt

$ keytool -import -alias intermed -keystore tomcat.keystore -trustcacerts -file gd_intermediate.crt

$ keytool -import -alias tomcat -keystore tomcat.keystore -trustcacerts -file yourdomain.com.crt

5、修改 Tomcat 配置并重启服务

编辑 Tomcat 的主配置文件 server.xml,在标准的 Connector 下面增加一个 HTTPS 的 Connector,如下:

<Connector port="443″ protocol="HTTP/1.1″ SSLEnabled="true"
    scheme="https" secure="true"
    clientAuth="false" sslProtocol="TLS"
    keystoreFile="/PATH/TO/YOUR/FILE/tomcat.keystore"
    keystorePass="123456″ />

需要注意这个 Connector 只适用于JIO和NIO类型,如果你的 Tomcat 使用了 APR,则应该参考 Apache Httpd 的证书签名过程(配置方法参考这里) 重启 Tomcat 之后,访问 https://yourdomain.com 应该能看到效果了。

6、其他Web服务程序的证书生成即签名方法

假如你的网站使用了 Apache Httpd、nginx 等Web服务程序,可以参考 GoDaddy 相应的官方文档

参考资料:

注:本文从我的旧博客转移过来,部分内容有更新。

4 thoughts on “添加 GoDaddy SSL 证书到你的网站”

Leave a Reply

Your email address will not be published. Required fields are marked *