量子涨落 · 随笔 · 2021年9月27日 12:49:19 · 1431次浏览

Let's Encrypt Authority X3 根证书DST ROOT CA X3到期替换为ISRG Root X1

更新：2021-12-21 ，今天距离到期时间还有6天，再次更新证书，Let 没有签发包含过期的证书链了，此篇文章终结，不再更新。

Let's Encrypt Authority X3 的根证书有 2 个签发机构，一个是 DST ROOT CA X3 ，将于 2021-09-30 到期，另一个是 ISRG Root X1，将于 2035-06-04 到期。

诡异的是，我今天 27 号提前更新证书，Let's 居然给我的还是 DST ROOT CA X3 签发的中间证书 R3，如图：

请输入图片描述

刚签发就还有 3 天不到的有效期，证书链的根证书到期，其签发的中级证书及其子证书都会全部失效的，所以我这个还有 89 天到期的 Let 证书似乎白签。

不过问题不大，因为 Let 不可能没有解决方案的，访问它的官网，发现 Let's Encrypt Authority X3 的中间证书 R3 存在交叉证书。
还有另一个根证书 ISRG Root X1 签发（吐槽：那你倒是给我 ISRG 签发的 R3 啊，就 3 天不到就要到期，你还给我 DST ROOT CA X3 签的证书，吐了），ISRG Root X1 根 CA 到期时间为 2035 年 6 月 4 日，其签发的交叉证书 R3 到期时间为 2025 年 9 月 16，有最新的交叉证书就好办了，因为交叉证书 R3 的签名私钥完全一样，所以只需要把证书链中的中间证书和根证书重新拼接替换。

一个网站完整的SSL证书格式如下：

编辑的你的网站SSL证书，用 VScode/vim/hbuilder 等任意编辑器，打开xxxx.pem/xxxxx.cer 的 SSL证书，根据上述的证书格式，做替换，Let 这里是编辑 full_chain.pem 文件，把文件内容底部的即将到期的 DST ROOT CA X3 根证书替换为 ISRG Root X1，中间证书替换为 ISRG Root X1 签发的交叉证书 R3，然后替换站点的SSL，nginx需要重启一次（不是重载配置文件 nginx -s reload，而是重启nginx： systemctl restart nginx），重新访问网站发现替换的证书链生效了。

这里我直接贴出由 ISRG 签发的交叉证书 R3 和自身 ISRG 根 CA 证书，根据上述的证书格式，你们只需要把自己的服务器证书放到最顶部就好了，新建一个任意后缀的文件，如xxx.txt/xxxx.cer/xxxx.pem，把自己的服务器证书提取出来(自己的服务器证书在哪？参见上面的SSL证书格式)，粘贴到顶部，接着把下面的内容复制，粘贴到服务器证书结束标志 -----END CERTIFICATE----- 的下面一行即可。

备注：部分win7系统会固执仍旧显示旧证书，浏览器访问仍旧报错，这是因为它们没有安装过相关windows的证书补丁更新，但只是极少数的，测试中还发现，这些陈旧的 win7 系统内置的根证书并没有 ISRG 根CA证书，也是因为系统太陈旧缺少相关更新导致的，简单解决办法就是点击网站的证书，详细信息，复制到文件，导出到桌面，再双击安装即可导入系统缺失的根证书、证书链，随后刷新页面实时生效。

这样就能省去重复造轮子了，另外我原本以为这个只是小问题，只是想偷懒就没重新申请，但是看了评论区，似乎不妙啊？要到期前还签发旧证书链就不说了，但是到期后还签发旧证书链就...

你们以为这个很难吗，对于 let 来说，只是简单下发个配置的文件的事，把签发证书的模板替换一下就好了，几秒几分钟的事，况且早在 20 年 1 月份 Let 就注意到这个问题了，并提前在 20 年 9 月 4 日，使用 ISRG Root X1 签发了了新 R3（2025年到期）。

我倾向于可能是 Let 忘记刷新签发证书服务器的 CDN 缓存了？要不就是部分证书服务器忘记更换了证书链了，比如中国地区

评论（10条）

frank

谢博主，帮大忙了。老电脑用的火狐46导入你给这个根CA以后，浏览器报不安全链接的问题立刻解决了。

2022-02-16 02:08:04 回复
dfzgd

小白想问一下：把自己的服务器证书提取出来，粘贴到顶部。服务器证书如何提取

2021-11-08 20:29:07 回复
1. 博主
  
  @dfzgd
  这个很简单啊，我也不知道怎么进一步说明了，无论哪家CA，申请下来的证书一定有2个文件，一个xxxx.pem/crt/cet，另一个xxxxx.key，证书就在那个xxxxx.pem/crt/cerm,xxxxx.key是你的私钥
  
  2021-11-08 20:33:24 回复
drew

申请到过期证书的注意你是否使用的是fullchain.pem，cert.pem是不包含中间证书的

2021-11-01 12:15:08 回复
dancen

现在lets encryption仍然在签发过期的证书链！！！

2021-10-28 10:18:27 回复
1. 量子涨落博主
  
  @dancen
  那在 2021-09-30 以后还签到由过期的根 CA DST ROOT CA X3 签发的 R3 let证书链，来这里回复评论，我们来统计统计要多久 Let 才会发现出了点纰漏要修改，在不反馈的情况下 Let 要多久才能后知后觉😓
  
  2021-10-28 11:28:00 回复
特意点赞

必须点赞 👍
能贴到官方文档里就更好了~

2021-10-15 11:03:41 回复
1. 量子涨落博主
  
  @特意点赞
  我后面问了一些朋友，他们有的人在到期的近期去申请，部分人能签到新r3的交叉证书，部分人还是那个即将过气的r3，无言以对
  
  2021-10-15 12:05:53 回复
2. 量子涨落博主
  
  @特意点赞
  不客气，帮到你就好了，现在已经过了9.30号，不会再签发那个过气证书了，我困惑的是（耿耿于怀）：早在2020年9月，也就是提前一年多，let已经预先做了准备了，那时做了交叉证书，他的另一个根ca（2035年到期的那个）对r3进行了签名，到期时间为2025年9月，let那时就应该用那个新r3的交叉签发新的证书了，而不是离根ca还差3天到期时，继续给用户签发旧的根ca证书链，最不济let也应该在根ca到期前三个月全部使用新的r3交叉证书彻底取代
  
  2021-10-15 12:03:48 回复
👍

手动点赞👍

2021-10-14 15:35:52 回复

飘在云端

东西南北，海角天涯

Let's Encrypt Authority X3 根证书DST ROOT CA X3到期替换为ISRG Root X1