---
title: "自定义证书"
description: "上传证书链与私钥、验证域名及有效期，并维护手动证书的替换和删除。"
---

> Documentation Index
> Fetch the complete documentation index at: https://cdelivery.dev/llms.txt
> Use this file to discover all available pages before exploring further.

# 自定义证书

已有企业证书或使用其他签发流程时，可以在 Pingress 中上传证书。上传、替换和移除需要 Admin 权限。

## 准备文件

准备 PEM 格式的证书链与对应私钥。证书需要覆盖目标域名，处于有效期内，并与私钥匹配。证书链应包含客户端建立信任所需的中间证书。

私钥不是公开证书内容。不要把私钥放入应用日志、工单、聊天记录或仓库；分享故障信息时只提供必要的证书元数据。

## 上传步骤

1. 在应用中保存目标域名并开启 HTTPS。
2. 打开 **Pingress → 证书**，进入该域名的证书详情。
3. 按表单要求上传或填写证书链与私钥。
4. 保存后检查证书来源和到期时间。
5. 从实际客户端使用域名访问 HTTPS，检查信任链、域名匹配和业务响应。

证书文件上传成功与浏览器信任是两个检查环节。客户端缺少对应根证书时，内部 CA 签发的证书仍可能显示不受信任。

## 替换和续期

手动证书不会由自动续期流程更新。到期前应通过你的签发流程取得新证书，并在同一域名详情页重新上传完整证书链和匹配的私钥。

替换后验证新到期时间及客户端实际收到的证书。前置 CDN 或其他 TLS 代理可能向客户端展示它自己的证书，排查时应明确正在检查哪一层。

## 移除证书

移除前确认该域名是否仍提供 HTTPS，以及是否已经准备好替代证书。删除证书不是关闭 DNS，也不是删除应用路由。

需要改回自动证书时，确认[自动签发条件](/docs/zh-cn/guides/networking/automatic-certificates/)已满足，并观察后续签发结果。不要假设移除手动证书后立刻就有新证书可用。

## 常见错误

| 问题 | 处理方式 |
| --- | --- |
| PEM 无法解析 | 检查文件边界、编码及是否选错文件 |
| 私钥不匹配 | 使用与证书公钥对应的私钥重新提交 |
| 域名不匹配 | 检查证书包含的域名，不能只依据文件名称判断 |
| 已过期或尚未生效 | 检查证书有效期及服务器时间 |
| 浏览器报告链不完整 | 补齐正确的中间证书链 |
| 上传后客户端仍见旧证书 | 核对访问地址、入口实例及前置代理 |

证书正常但请求失败时，继续检查[域名与路由](/docs/zh-cn/guides/networking/routing/)和[访问日志](/docs/zh-cn/guides/observability/logs/access/)。

Source: https://cdelivery.dev/docs/zh-cn/guides/networking/custom-certificates/index.mdx