已有企业证书或使用其他签发流程时，可以在 Pingress 中上传证书。上传、替换和移除需要 Admin 权限。
准备文件
准备 PEM 格式的证书链与对应私钥。证书需要覆盖目标域名，处于有效期内，并与私钥匹配。证书链应包含客户端建立信任所需的中间证书。
私钥不是公开证书内容。不要把私钥放入应用日志、工单、聊天记录或仓库；分享故障信息时只提供必要的证书元数据。
上传步骤
- 在应用中保存目标域名并开启 HTTPS。
- 打开 Pingress → 证书，进入该域名的证书详情。
- 按表单要求上传或填写证书链与私钥。
- 保存后检查证书来源和到期时间。
- 从实际客户端使用域名访问 HTTPS，检查信任链、域名匹配和业务响应。
证书文件上传成功与浏览器信任是两个检查环节。客户端缺少对应根证书时，内部 CA 签发的证书仍可能显示不受信任。
替换和续期
手动证书不会由自动续期流程更新。到期前应通过你的签发流程取得新证书，并在同一域名详情页重新上传完整证书链和匹配的私钥。
替换后验证新到期时间及客户端实际收到的证书。前置 CDN 或其他 TLS 代理可能向客户端展示它自己的证书，排查时应明确正在检查哪一层。
移除证书
移除前确认该域名是否仍提供 HTTPS，以及是否已经准备好替代证书。删除证书不是关闭 DNS，也不是删除应用路由。
需要改回自动证书时，确认自动签发条件已满足，并观察后续签发结果。不要假设移除手动证书后立刻就有新证书可用。
常见错误
| 问题 | 处理方式 |
|---|---|
| PEM 无法解析 | 检查文件边界、编码及是否选错文件 |
| 私钥不匹配 | 使用与证书公钥对应的私钥重新提交 |
| 域名不匹配 | 检查证书包含的域名，不能只依据文件名称判断 |
| 已过期或尚未生效 | 检查证书有效期及服务器时间 |
| 浏览器报告链不完整 | 补齐正确的中间证书链 |
| 上传后客户端仍见旧证书 | 核对访问地址、入口实例及前置代理 |