今晚我更新了我們的 TSL 憑證。我們在 haproxy 後面部署了一個證書，該證書與中間 CA crt 和 .pem 檔案格式的私鑰捆綁在一起。為我們的網域下載了更新的憑證後，我透過更新前一年的 .pem 檔案的相應部分來建立一個新的 .pem 檔案。看起來運作良好。
不過，我在一封電子郵件中註意到，我們也獲得了新的中間 CA 憑證。我是否需要更新 .pem 檔案以反映此新證書，或者我可以保持原樣嗎？正如我所說，它似乎工作正常，但我不想在未來遇到問題，因為舊的中間 CA 證書將在幾個月或類似的情況下過期。
如果這是一個愚蠢的問題，我深表歉意 - 我真的是一名初級 Web 開發人員，被迫加入這種伺服器管理......提前非常感謝。
編輯：可能相關：上次我檢查時，我們的 ssl 設定在 Qualys 上得到了 A，但現在它只得到了 B，抱怨它無法正確驗證鏈。今晚我會更新到新的 CA。我不能只向一位代表投下贊成票，但我非常感謝那些花時間回覆的人。
貼文編輯：我已經更新了中間證書，但這不是我的 Qualys 問題的根源。再次感謝。
答案1
一般來說，中間 CA 很少更改，但用新的 ca 包替換舊的 ca 包是一種很好的做法。下載新包並將其放在舊包的正上方 - 使用相同的名稱。您將需要重新啟動 haproxy 和任何其他使用該憑證的東西。