华为云SSL证书管理（SSL Certificate Manager，SCM）是华为联合全球知名数字证书服务机构，为您提供一站式证书的全生命周期管理，实现网站的可信身份认证与安全数据传输。进入选购SSL证书界面：1.登录管理控制台。2.单击页面上方的“服务列表”，选择“安全 > SSL证书管理”，进入SSL证书管理界面。3.在SSL证书管理界面右上角，单击“购买证书”。4. 在“购买证书”页面，选购证书。购买证书的过程中，您是否有这样的困惑：应该选择哪种证书类型，哪种类型才适合？哪家品牌的证书更靠谱呢？选择1张多域名证书好呢，还是选多张单域名证书好呢？......遇到这些情况，不妨跟随小课的脚步，一起学习如何选择适合的SSL证书。戳这里，了解更多如何选择SSL证书详细内容。证书类型华为云SSL证书管理服务提供有OV、OV Pro、EV、EV Pro、DV类型的证书。不同类型的SSL证书在浏览器显示效果、安全等级、信任等级等方面的区别如下：表1-1 证书类型 如果您的网站主体是个人（即没有企业营业执照），只能申请DV型数字证书。对于一般企业，建议购买OV及以上（OV Pro、EV、EV Pro）类型的数字证书。对于金融、支付类企业，建议购买EV型证书。 移动端网站或接口调用，建议您使用OV及以上（OV Pro、EV、EV Pro）类型的证书。证书品牌当前支持的品牌包括“DigiCert”、“GlobalSign”、“GeoTrust”。DigiCert：全球著名的数字证书提供商，服务范围超过150多个国家，拥有超过10万客户。GlobalSign：一家声誉卓著，备受信赖的CA中心和SSL数字证书提供商，并在全球拥有众多合作伙伴。GeoTrust：全球著名的数字证书提供商，服务范围超过150多个国家，拥有超过10万客户。公司服务于各大中小型企业，一直致力于用最低的价格来为客户提供最好的服务。不同证书品牌资质都很值得信赖，均可放心选购。另外，不同品牌提供的证书类型不同，例如GlobalSign目前提供企业型OV、增强型EV类型的证书。域名类型了解SCM提供的域名类型购买证书时，SCM中提供的“域名类型”有“单域名”、“多域名”和“泛域名”3种类型。它们的具体区别如下：表1-2 SCM提供的域名类型购买泛域名证书，需要注意泛域名证书匹配域名的规则。只能匹配同级别的子域名，不能跨级匹配，匹配示例如下：示例1：示例2：选择合适的域名类型根据您需要绑定证书的域名个数及域名是同级或跨级进行选择。场景一：如果仅一个域名需要绑定在1张SSL证书中，则选择单域名。示例：只有一个域名需要绑定在1张SSL证书中，则选择“单域名”。场景二：如果有多个域名需要绑定在SSL证书中，请根据以下情况进行选择：1.多个域名，各域名均不在同一级别中，且需要绑定在1张SSL证书中，选择多域名。示例：有3个域名，不在同一级别中，且需要绑定在1张SSL证书中，则选择“多域名”。2.多个域名，各域名均在同一级别中，且需要绑定在1张SSL证书中，则选择泛域名。“域名数量”根据需要绑定的域名数量而定，域名数量的多少会直接影响到证书费用。示例：有4个域名，在同一级别中，且需要绑定在1张SSL证书中，则选择“泛域名”。3.N个域名，有些域名在同一级别中，有些域名不在同一级别中方式一：购买N张单域名证书。方式二：同一级别的，购买1张泛域名证书，其他不同级别的，购买1张多域名证书。方式三：购买1张多域名证书，“域名数量”为N。示例：有5个域名（a.domain.com、b.domain.com、c.domain.com、d.huawei.com、e.huaweicloud.com），需要绑定在SSL证书中在证书品牌、证书类型、有效期相同的情况下，有如下购买方式，请结合优劣势以及价格进行综合考虑，选择合适的类型： 表1-3 购买方式有效期和购买量有效期：证书的有效期，最多支持购买2年。证书有效期从签发日开始计算。证书购买后，无法延长有效期，且证书到期后需要重新购买并部署，请根据使用情况合理规划。有效期长短不同，优惠力度可能会有差异，请关注哦~~购买量：购买的证书个数。请结合域名类型，综合考虑购买的证书张数。 证书购买完了以后，如果需要使用证书去绑定域名，达到HTTPS的效果，还需要进行“申请证书”、“域名验证”、“组织验证”等操作，赶紧戳这里了解详情吧~~安全无小事，时刻需警惕。2020，华为云普惠云安全，为您的网站、主机、数据提供免费云体检，还有一站式过等保贴心指导，赶紧戳这里，了解详情吧！

尊敬的华为云客户：华为云对证书管理服务SCM，Globlesign品牌证书的部分规格进行价格调整，新价格于2019/09/16 00:00:00（北京时间）正式生效，生效后Globlesign品牌证书新购、续费均按调整后价格收取费用。具体价格详情如下：证书类型调价前官网价调价后官网价GlobalSign 企业型单域名SSL证书1年3137.4元3094.24元GlobalSign 增强型单域名SSL证书1年8300元8200.4元GlobalSign 企业型多域名SSL证书1年(0,1域名],2656元/个  (1,100域名],1411元/个(0,1域名],3094.24元/个  (1,100域名],1643.4元/个GlobalSign 增强型多域名SSL证书1年(0,1域名],7055元/个  (1,100域名],2116.5元/个(0,1域名],8200.4元/个  (1,100域名],2473.4元/个GlobalSign 企业型单域名SSL证书2年4760元5219.2元GlobalSign 企业型多域名SSL证书2年(0,1域名]4480元/个  (1,100域名],2359元/个(0,1域名]5219.2元/个  (1,100域名],2772元/个GlobalSign 增强型单域名SSL证书2年12600元13832元GlobalSign 增强型多域名SSL证书2年0,1域名]11760元/个 (1,100域名],3556元/个(0,1域名]13832元/个  (1,100域名],4172元/个具体价格请在新价格生效后参考产品的计费详情页。如您有任何问题，可随时通过工单或者服务热线（950808）与我们联系。感谢您对华为云的支持！

尊敬的华为云客户：华为云对证书管理服务SCM，Globlesign品牌证书的部分规格进行价格调整，新价格于2019/09/16 00:00:00（北京时间）正式生效，生效后Globlesign品牌证书新购、续费均按调整后价格收取费用。具体价格详情如下：证书类型调价前官网价调价后官网价GlobalSign 企业型单域名SSL证书1年3137.4元3094.24元GlobalSign 增强型单域名SSL证书1年8300元8200.4元GlobalSign 企业型多域名SSL证书1年(0,1域名],2656元/个  (1,100域名],1411元/个(0,1域名],3094.24元/个  (1,100域名],1643.4元/个GlobalSign 增强型多域名SSL证书1年(0,1域名],7055元/个  (1,100域名],2116.5元/个(0,1域名],8200.4元/个  (1,100域名],2473.4元/个GlobalSign 企业型单域名SSL证书2年4760元5219.2元GlobalSign 企业型多域名SSL证书2年(0,1域名]4480元/个  (1,100域名],2359元/个(0,1域名]5219.2元/个  (1,100域名],2772元/个GlobalSign 增强型单域名SSL证书2年12600元13832元GlobalSign 增强型多域名SSL证书2年0,1域名]11760元/个 (1,100域名],3556元/个(0,1域名]13832元/个  (1,100域名],4172元/个具体价格请在新价格生效后参考产品的计费详情页。如您有任何问题，可随时通过工单或者服务热线（950808）与我们联系。感谢您对华为云的支持！

新版cse-ssl证书生成后多了server_key_enc.pem这个文件，请提供下生成pki方式生成方法，同时确认下 trust.jks和server.csr是否 非必须？

尊敬的华为云客户：因为产品整改原因，华为云SCM服务预计在5月16日~26日暂停销售。在此期间，您仍然可以正常使用已签发的证书（包括下载、推送、吊销等）。预计中国区域5月27日重新开放部分品牌证书购买，国际站时间待定。如您有任何问题，可随时通过工单或者服务热线（950808）与我们联系。感谢您对华为云的支持！

【导语】2018年9月29日，上海天存信息技术有限公司入驻华为云市场，在华为云发布了「iGuard网页防篡改系统」产品，真诚为您的企业网站保驾护航。我们的产品和其他的网页防篡改产品相比有什么优势呢？快来一起看看吧。【我们是谁？】天存信息是一家专注于Web应用安全领域的软件产品提供商，已经致力于Web安全20年了 。我们的明星产品「iGuard网页防篡改系统」，在国内已经为近4000多家政企客户提供了专业化的产品及服务，已稳定运行于15,000台服务器，保护了80,000个站点，并有幸成为首届「中国国际进口博览会」网页防篡改产品的供应商。我们始终倡导为客户提供有价值的产品和服务，承诺品质和坚守信誉，致力于领先技的应用的核心价值；通过覆盖全国的销售和服务网络，将优秀的产品结合人员的丰富实践经验和细致工作态度，为各行业用户的Web网站和Web应用保驾护航。【保护网站安全，为什么需要专业的网页防篡改产品？】1. Web应用防火墙≠网页防篡改产品，也不能保证网页100%不被篡改随着互联网的发展，企业网站不仅是企业对外宣传和发布信息的媒体平台，还是为客户和合作伙伴提供B2C和B2B服务（如开展电子商务、网络化的业务、用户管理）的重要途径。门户网站对于企业的重要性不言而喻，因此也成为了众多黑客的攻击对象。其中，网页内容被篡改是黑客攻击方式中最常见的一种。对于篡改网页的行为，大多数人觉得防住Web应用层攻击，网页就不会被篡改。但实际上Web应用层攻击只是黑客篡改网页的一种手段，一个危险的第三方控件就会导致网页被篡改。另外，也有一些Web应用防火墙“自带”网页防篡改功能，比如通过网页快照比对的方式，让用户看到正确的网页。虽然乍一看，这个机制可能可以让用户访问到正确的页面，但是它同时也存在很多的缺陷，特别是在防篡改的可靠性上，网页快照存在先天不足。比如显而易见的一点是，网页快照没有一个识别机制去判断修改网页的行为是管理员还是黑客，以及它没有一个修复机制去恢复被篡改的网页。也就是说如果网页被篡改，即使Web应用防火墙进行了报警，被篡改的网页还是会留存在Web服务器上，造成安全隐患。所以“Web应用防火墙≠网页防篡改产品”，也不能保证网页100%不被篡改。2.  Web安全问题内忧外患，非专业的网页防篡改产品不能治要想更好地保护网页不被篡改，我们需要知道都有哪些安全隐患。在一二十年前，互联网刚刚兴起时，大多数黑客篡改网页是出于炫技目的，做恶作剧或者散播谣言。这类肉眼可见，大家最为熟知的篡改信息方式属于显性攻击。相对于显性攻击，现在更是出现了诸多的隐性攻击，如网页挂马、植入外链、非法上传等。随着互联网的发展，现在企业网站已经远远超出作为信息传递媒介的价值了，所以黑客进行的攻击行为大部分都是受利益驱动的。综上所述，显性攻击和隐性攻击一起构成了外部黑客攻击。说到外部黑客攻击，还有内部安全隐患，这是大多数网页防篡改厂商所忽略的。也正是这些内部安全隐患造成了网页被篡改的风险。内部安全隐患包括Web应用运行环境的不安全，比如安全策略不严，账号管理失控、权限配置不当等；Web应用自身会存在安全缺陷，虽然多数企业都有自己的研发部门，但是研发人员的职责是编译出可以实现功能的交互系统，并不会过多地注意网站安全方面的问题，甚至可以说大多数研发人员其实没有网站安全知识，所以即使一个能正常交互的网站，也可能存在暴露敏感信息和含有危险的第三方插件等安全隐患；最后一个内部安全隐患是网页文件发布过程的不规范，包括发布工具的不安全，发布流程的不规范以及发布权限设置不严格等。外部黑客攻击和内部安全隐患整体组成了我们的大多数Web安全问题。所以，内忧外患，我们必须要用专业的网页防篡改产品来对网站进行可靠的保护。【网页防篡改有哪些重要的步骤？】首先我们通过在网站的一些关键节点上“埋点”，确保网页篡改检查的全面性，然后在每个检查点上对异常的网页文件或者篡改行为进行准确地识别，并对他们给予有效的处理。【防篡改三步走第1步——检查】为了更清晰地阐述防篡改的技术原理，我们首先对网站的运行原理做一个简单的介绍。通常网站会使用内容管理系统来编辑制作网页，内容管理系统会将制作好的网页文件传输到Web服务器上，当访问者发送访问请求给Web服务器时，Web服务器会调取网页文件，并和数据库里的相关内容进行合成后返还给访问者。黑客主要有如下几条攻击路径，第一条是直接篡改网页文件，第二条是通过上传木马文件到上传目录中，再通过木马文件来篡改网页文件，第三条是直接攻击内容管理系统。一般的网页防篡改产品都会针对第一条路径进行设防，也就是在用户访问文件和网页文件被篡改时。而天存的网页防篡改产品同时也会对上传的文件及发布的文件进行全面的监控和检查。同时，对于在部署我们防篡改产品前已存在的文件，也会做一个全面的检查。所以我们的「iGuard网页防篡改系统」，有这样全面的五个篡改检查点，可以进行100%无死角检查，不放过每一个可疑文件。【防篡改三步走第2步——识别】在做全面的检查后，我们需要对查出有安全隐患的文件和行为进行准确的识别。首先，我们用数字水印对比技术来确保访问网页的正确性。我们给每一个网页文件都对应加一个数字水印，就像身份证一样，数字水印会随着网页的更新而更新。所以当一个网页文件被更改后，如果它的数字水印没有更新，就说明这个网页是被黑客篡改的。其次我们还有文件驱动过滤技术，通过五元组参数配置，进行一个行为合法性的判断。管理员可以设置一个文件修改和上传规则，符合这个规则的文件修改和上传行为被允许，不符合这个规则的行为则被视为篡改行为，将会被拦截。通过文件驱动过滤技术，我们可以将黑客的篡改行为有效地拦截在门外，同时还能纠正文件系统操作权限的不当配置。最后，我们通过文件扫描技术，将不论是安装网页防篡改产品前还是后的所有文件统统进行体检。通过特征检测方法揪出像“无数字水印”非法网页、网页后门、非法外链这类非法文件。所以，我们的iGuard网页防篡改系统，通过这三种篡改识别机制，能够确保防篡改机制无法被绕过。【防篡改三步走第3步——处理】在全面检查和准确识别后，我们会对非法文件和非法篡改行为进行有效的处理。处理方式有，拦截黑客的篡改行为，隔离被篡改文件、自动恢复被篡改文件以及删除可疑文件。这些所有的处理都是自动的，不需要管理员进行任何的操作。天存的「iGuard网页防篡改系统」通过四种篡改处理机制，实现运维零负担。【天存信息贯穿「文件生命周期」的全面防护系统】总结来说，iGuard网页防篡改系统是贯穿文件生命周期的全面防护系统。当我们的文件被访问时，通过数字水印对比技术进行文件的完整性检查，保证用户看到的页面是正确的；在文件被篡改时，利用文件驱动过滤技术，进行实时拦截；在文件被上传时，同样也通过文字件驱动过滤技术进行操作合法性判断；在文件被发布时，对于发布文件进行全面扫描；同时，对于安装网页防篡改产品前的网页也进行全面体检。我们通过这样一个平台级的网页防篡改产品，不仅仅从攻防，还从运维和管理的角度，为您提供全面的三维防护。【超简单的部署——传统部署：仅需添加一台服务器】对于传统的部署，您只要增加一台服务器作为发布服务器，在上面安装我们的软件即可。如果网站流量较小，那么只需准备一台简单的pc就可以。【超简单的部署——云平台：虚拟机安装软件即可】如果是云平台，只需要在虚拟机上安装我们的软件即可。如果您还有更多想要了解的，欢迎拨打我们的热线电话400-880-8292官网：http://www.tcxa.com.cn/天存信息将竭诚为您的网站安全保驾护航。

本帖最后由 悬镜安全 于 2018-3-5 15:58 编辑说到网站安全，不得不说一下信息安全，信息安全与技术的关系可以追溯到远古。埃及人在石碑上镌刻了令人费解的象形文字,斯巴达人使用一种称为密码棒的工具传达军事计划，罗马时代的凯撒大帝是加密函的古代将领之一，"凯撒密码"据传是古罗马凯撒大帝用来保护重要军情的加密系统。它是一种替代密码，通过将字母按顺序推后3位起到加密作用，如将字母 A 换作字母 D， 将字母 B 换作字母 E。英国计算机科学之父阿兰·图灵在英国布莱切利庄园帮助破解了德国海军的 Enigma 密电码，改变了二次世界大战的进程，足以可见信息安全事关重大。11553 随着互联网技术的不断发展，网络信息的安全性愈发受到重视，保护信息安全更要做到防患于未然。对于网站的信息安全，进行网站安全检测就是一个有效的方法。 网站安全检测，也称网站安全评估、网站漏洞测试、Web安全检测等。它是通过技术手段对网站进行漏洞扫描，检测网页是否存在漏洞、网页是否挂马、网页有没有被篡改、是否有欺诈网站等，提醒网站管理员及时修复和加固，保障web网站的安全运行。11554检测内容包括：1) 注入攻击。2) XSS跨站脚本。3)网页挂马。4)缓冲区溢出。5)上传漏洞。6)源代码泄露。7)隐藏目录泄露。8)数据库泄露。9)弱口令。10)管理地址泄露。 等等...... 随着网络技术的不断发展和改进，对于私人信息、保密信息的利用手段越加丰富，网站信息安全面临的风险也在不断增加。尤其是政企、教育、金融、电商等网站，更是信息安全的敏感地带，现在网站风险主要有一下几类： (1) 信息泄露:信息被泄露或透露给某个非授权的实体。 (2) 破坏信息的完整性:数据被非授权地进行增删、修改或破坏而受到损失。 (3) 拒绝服务:对信息或其他资源的合法访问被无条件地阻止。 (4) 非法使用(非授权访问):某一资源被某个非授权的人，或以非授权的方式使用。 (5) 窃听:用各种可能的合法或非法的手段窃取系统中的信息资源和敏感信息。例如对通信线路中传输的信号搭线监听，或者利用通信设备在工作过程中产生的电磁泄露截取有用信息等。 (6) 业务流分析:通过对系统进行长期监听，利用统计分析方法对诸如通信频度、通信的信息流向、通信总量的变化等参数进行研究，从中发现有价值的信息和规律。 (7) 假冒:通过欺骗通信系统(或用户)达到非法用户冒充成为合法用户，或者特权小的用户冒充成为特权大的用户的目的。黑客大多是采用假冒攻击。 (8) 旁路控制:攻击者利用系统的安全缺陷或安全性上的脆弱之处获得非授权的权利或特权。例如，攻击者通过各种攻击手段发现原本应保密，但是却又暴露出来的一些系统"特性"，利用这些"特性"，攻击者可以绕过防线守卫者侵入系统的内部。 (9) 授权侵犯:被授权以某一目的使用某一系统或资源的某个人，却将此权限用于其他非授权的目的，也称作"内部攻击"。 (10)特洛伊木马:软件中含有一个觉察不出的有害的程序段，当它被执行时，会破坏用户的安全。这种应用程序称为特洛伊木马(Trojan Horse)。 (12)抵赖:这是一种来自用户的攻击，比如:否认自己曾经发布过的某条消息、伪造一份对方来信等。 (13)重放:出于非法目的，将所截获的某次合法的通信数据进行拷贝，而重新发送。 (14)计算机病毒:一种在计算机系统运行过程中能够实现传染和侵害功能的程序。 (15)人员不慎:一个授权的人为了某种利益，或由于粗心，将信息泄露给一个非授权的人。 (16)业务欺骗:某一伪系统或系统部件欺骗合法的用户或系统自愿地放弃敏感信息等等。 那我们如何选择专业的网站安全检测产品呢？一般来讲它必须具备以下几个标准： 1、开发商是否通过各种权威机构认证目前国家对安全产品进行认证工作的权威部门包括公安部信息安全产品测评中心、国家信息安全产品测评中心等，民间机构有赛可达实验室等。悬镜安全获得了由信息安全认证中心颁发的具备国家认可的风险评估资质，以及由信息安全测评中心颁发的安全工程资质，旗下云鉴漏洞扫描云平台曾获得赛可达之星奖项。质量过硬，安全可靠。115592、漏洞数量和升级速度漏洞数量是考查漏洞扫描器的重要指标，最新漏洞的数量、漏洞更新和升级的方法以及升级方法是否能够被非专业人员掌握，使得漏洞库升级的频率显得更为重要。 3、产品本身的可用性扫描产品运行的操作系统平台是否安全以及产品本身的抗攻击性能如何都是用户应该需要考虑的因素。比如云鉴漏洞扫面云平台，上手快，功能全面，只需输入提交待检测的URL即可自动扫描。 4、是否具备证明效力其目的是帮助完成应对上级检查，满足甲方需要，完成安全目标等多项目标，云鉴漏洞扫描云平台可提供PDF专业报告，可以在线阅读，也可以加盖印章并邮寄，助您应对各种严格考验。11560 那说到底，云鉴漏洞扫描云平台到底是一个什么样的产品呢？悬镜安全团队根据实际安全项目的实施过程中发现的种种问题，自主研发了云鉴漏洞扫描云平台，是业内第一家提出三合一漏扫平台的安全厂商。可以针对系统漏洞，web网站、app安全存在的安全漏洞进行自动化检测，操作简单，使用方便，同时悬镜安全结合悬镜服务器卫士多年服务器安全防护经验，融合悬镜大数据智能检测云平台海量漏洞数据，对漏洞进行全方位、深层次检测。帮助企业客户提前发现漏洞，同时轻松应对上级各种严苛检查。 11555云鉴漏洞扫描云平台体检地址：http://www.x-check.cn/ 特别提醒的是：如果您已经在悬镜官网上注册了账号，可以直接在云鉴上进行登录。 点击“添加检测网站”11556提醒：针对大批量的自动化网站检测，可以进行批量导入网址，最大可一次性添加100个，文档格式支持txt、excel。 然后进行网站认证即可，点击提交检测： 11557 检测完之后，可以下载报告，也可以在线查看：11558 11563报告模板在使用过程中遇到任何产品使用的问题，都可以随时联系我们。 华为云-云鉴漏洞扫描云平台体验地址：https://app.huaweicloud.com/product/00301-77107-0--0

10829 2018年2月8日，谷歌安全博客发布公告：从2018年7月Chrome 68版本开始，将所有HTTP页面标记“不安全”。10830 谷歌强推HTTPS加密，取得惊人进展过去几年，谷歌一直通过大力倡导网站采用HTTPS加密，推动互联网迈向更安全的网络环境。2017年谷歌逐渐加大力度，通过将更多HTTP页面标记“不安全”来帮助用户了解HTTP站点的安全风险。·2017年1月（Chrome56）开始，正式将某些HTTP页面标记“不安全”，比如含密码或信用卡信息传输的HTTP页面；·2017年10月（Chrome 62）开始，所有需要输入数据的HTTP页面以及“隐身模式”下的所有HTTP页面都将显示“不安全”警告； 2017年的措施带来了惊人的进展，根据谷歌发布的数据显示：·安卓和Windows上，超过68%的Chrome流量已经受到加密保护·Chrome OS和MAC上，超过78%的Chrome流量已经受到加密保护·排名前100的网站中，81个网站已经默认使用HTTPS加密 而此次发布的公告，将进一步推动全球互联网迈向全网HTTPS。目前，Chrome仍显示中性的圆圈“i”标识，未来可能进一步加强警告，最终目标是对HTTP页面显示红色三角警告。10831 网站没有升级HTTPS，会怎么样？NetMarketShare公布的2017年8月浏览器市场份额数据显示，Chrome依然是最热门的桌面浏览器，市场占比接近60%。如果您的网站没有升级HTTPS加密，Chrome将标记您的网站“不安全”，警告用户谨慎访问，这可能造成大量用户流失。在Chrome浏览器的引领下，其他浏览器也在逐步实施弃用HTTP的计划，FireFox准备将所有HTTP页面标记“不安全”，Safari也计划添加HTTP安全警告，HTTP页面的警告范围将越来越大。 10832 此外，安全访问已经成为互联网标准，现代互联网技术都将围绕着更为安全的HTTPS加密而设计的。一些新功能和标准已经被设计为从发布之初就使用HTTPS加密，例如：下一代HTTP/2协议、浏览器最新功能（地理定位、用户媒体等）等等都仅支持HTTPS加密。网站没有升级HTTPS加密，那这些高级功能都和你无缘了。 升级HTTPS加密，应该做些什么？您需要立即为网站制定HTTPS加密升级计划，部署SSL证书让您的网站迁移到HTTPS。在申请SSL证书之前，需要梳理一下有多少网站需要HTTPS加密保护，根据您的业务需求选择合适的SSL证书进行HTTPS改造和性能优化。无论采用何种方式，您需要在7月份之前获取SSL证书，避免您的网站被贴上“不安全”的警告标签。沃通CA在华为云市场提供“沃通免费SSL证书”，全球信任，支持所有浏览器！帮助用户零成本部署HTTPS加密，网站升级HTTPS加密的过程中遇到任何问题，欢迎咨询沃通CA（www.wosign.com）。 10833

本帖最后由 沃通WoTrus 于 2018-2-1 09:23 编辑SSL证书行业新规将至：2018年3月1日起，所有全球信任的SSL证书，最长有效期缩短为2年（825天），建议网站所有者提前做好相应准备。新规由国际标准组织CAB Forum在2017年第193号投票通过。为什么SSL证书要设有效期？设置证书有效期对保护证书安全性是非常重要的！基于PKI技术的数字证书，结合公钥加密算法、对称加密算法、散列算法等密码技术，用于实现认证、加密、签名等安全功能。随着全球计算力的提升，部分老旧的算法（如1024位RSA算法，及SHA-1等签名算法）已经被证明存在安全风险。为SSL证书设置有效期，便于用户及时更新证书，替换使用更为先进的加密算法，大大降低安全风险，提升整个生态系统的安全性。没有合理设置SSL证书有效期，可能造成极大的安全威胁。以自签名SSL证书为例，自签名SSL证书不受国际标准制约，可以把有效期设置为10年甚至20年。很多自签名证书长期未更新，仍在使用非常不安全的1024位RSA算法和SHA-1签名算法。超长的有效期和脆弱的加密算法，让黑客拥有足够的时间和算力破解证书的加密密钥，造成严重后果。此外，设置有效期的另一个原因是，CA机构必须重新验证身份信息，这可以确保身份认证信息是最新的，并且您仍然拥有为该域名颁发证书的权利。因此国际标准要求全球信任的SSL证书必须限制最长有效期。新规实施，对用户有什么影响？此次新规主要影响DV SSL证书和 OV SSL证书，最长有效期由3年（39个月）缩短为2年（825天）。EV SSL证书因信任级别较高，目前最长有效期已经设为2年，不受此次新规的影响。2018年3月1日之前签发的3年期SSL证书，在剩余有效期内不会受到影响。3月1日之后，全球信任的CA机构都必须遵循新规要求，停止签发3年期SSL证书，用户可以选择2年期或1年期SSL证书。距离新规生效还剩1个月，如果您需要申请3年期SSL证书，可以在新规生效前及时申请。沃通SSL证书全球信任，采用目前业界最高级别的加密算法和签名算法，用户证书支持2048位RSA算法及SHA-2签名算法，确保您的网站数据获得高强度加密保护。沃通SSL证书已入驻华为云市场，欢迎华为云市场用户选购。如果您想了解SSL证书新规的相关信息，欢迎咨询沃通CA（www.wosign.com）。沃通原创文章，转载请注明来源

沃通免费SSL证书支持1年期1个域名，零成本为网站实现HTTPS加密，保护数据传输机密性和完整性。这份超详细申请指南，告诉您如何快速申请沃通免费SSL证书。申请流程如下： 1、云市场下单1.1 注册华为云帐户并完成实名认证注册华为云帐户并登录，在【用户中心-账号管理-基本信息】路径下，找到实名认证入口，根据引导完成实名认证。 1.2 在云市场查找“沃通免费SSL证书”进入华为云市场，在搜索框搜索“沃通免费SSL证书”或点击【安全市场-数据安全】找到“沃通免费SSL证书”产品。 1.3 下单申请“沃通免费SSL证书” (1)进入沃通免费SSL证书产品页，选择1年期，点击【立即购买】后，【提交订单】，在【用户中心-我的订单】可查询订单详情。备注：沃通免费SSL证书仅支持1年期1个域名，请勿选择多年期，以免影响您及时获取到证书。 2、获取账号密码在华为云市场下单后，请点击用户名下方的下拉菜单，点击【我的应用】，如下图 点击【已购买应用】，找到“沃通免费SSL证书”点击【管理】，如下图。 在管理页面获取“沃通-华为云SSL数字证书管理系统”的登录地址和账号密码，如下图。 3、登录“沃通-华为云SSL数字证书管理系统”3.1 登录系统使用华为云市场后台获取的账号和初始密码，登录“沃通-华为云SSL数字证书管理系统”（https://huaweicloud.wotrus.com），如下图。 3.2 完善资料查看已生成的订单，点击【完善资料】，如下图。 请按要求补充完善信息，此处完善的信息至关重要，请务必正确填写，如下图。 4、完成身份验证4.1 系统审核资料补充成功后，请耐心等待系统审核。沃通客服也将联系您，协助后续的身份验证及证书签发流程。如有任何疑问，请联系您的专属客服。 4.2 域名验证系统审核通过之后，会将申请链接发送至邮箱里，请您配合完成相关的验证操作。 通过浏览器打开邮件里的申请链接，其中有2步需要操作：第一，选择域名验证方式：邮箱验证，DNS验证，网站验证，3选1，哪种方便就选哪种。第二，递交CSR，推荐方式二，设置证书保护密码，并请记住设置的密码。 如何做域名验证，请参考指南​：https://bbs.wosign.com/forum.php?mod=viewthread&tid=2998&extra=page%3D1 5、获取证书域名验证等相关流程操作完成后，请等待证书签发。证书成功签发后，会将证书下载链接发送至邮箱里，通过邮件里的链接下载证书文件。 成功申请到SSL证书后，用户会得到一个含密码的压缩包文件（密码为您自己设置的证书保护密码），里面包含适用于多种服务器类型的证书文件，根据自己的服务器类型选择对应的证书文件，依照对应的服务器证书部署指南，将SSL证书文件部署到服务器上。证书部署过程中遇到任何问题，请联系沃通服务支持24小时服务热线0755-86008688或登录沃通官网 www.wosign.com​ 在线咨询。 沃通SSL证书产品列表沃通SSL证书系列产品上线华为云市场，提供丰富多样的SSL证书产品类型，涵盖不同认证级别，满足不同客户的应用需求，欢迎了解。沃通SSL V4单域型 https://app.huaweicloud.com/product/00301-75023-0--0 沃通SSL V4多域型 https://app.huaweicloud.com/product/00301-75019-0--0 沃通SSL V3单域型 https://app.huaweicloud.com/product/00301-75034-0--0 沃通SSL V3多域型 https://app.huaweicloud.com/product/00301-75015-0--0 沃通SSL V3通配型 https://app.huaweicloud.com/product/00301-76020-0--0 沃通SSL V1单域型 https://app.huaweicloud.com/product/00301-77062-0--0 沃通SSL V1多域型 https://app.huaweicloud.com/product/00301-77063-0--0 沃通SSL V1通配型 https://app.huaweicloud.com/product/00301-78051-0--0 沃通免费SSL证书 https://app.huaweicloud.com/product/00301-75002-0--0

1月15日，Mozilla发布公告，Firefox上所有网络公开功能仅限HTTPS加密环境下提供。Mozilla博客上写道：“所有网络公开的新功能仅限于安全内容（Secure Contexts），立即生效。”目前，FireFox已经对部分功能要求仅限HTTPS加密，比如获取地理位置（Geolocation），但从现在起，所有网页新功能都将被限制仅在HTTPS加密的环境下提供。安全内容（Secure Contexts）的重要性随着web平台功能的不断扩展，使更多有用和强大的应用程序成为可能，网站开始在浏览器上提供一些类似移动APP的功能，比如支持网络摄像头、本地数据存储、地理定位、付款请求API等等。这些高级功能丰富了Web程序的使用体验，但是也存在必然的安全风险，如果这些功能被中间人攻击，或遭遇其他网络干扰或篡改，将带来严重安全威胁。设想一下，如果一个用户连接到你的网站上，网络上的其他人就可以利用你来访问监听用户的摄像头或麦克风，或者更糟糕的是，攻击者可以直接用HTTP注入来伪造一个用户网络摄像头的访问请求。确保高级功能仅在满足最低安全级别的环境中才能启用变得越来越重要，程序通过HTTPS认证加密通道安全地访问敏感数据或隐私数据是一个必要的先决条件。HTTPS的主要工作是保护网站和浏览器之间的安全连接，而这些高级功能同样需要HTTPS加密保护，防止中间人攻击、流量劫持和敏感数据泄露。最初是谷歌在2014年建议浏览器仅在安全来源下允许特定功能启用，“安全内容（Secure Contexts）”的概念是从谷歌最初的这个概念演变而来，并由W3C定义规范，希望把这些高级浏览器功能的安全访问变成互联网标准。目前，一些新功能和标准已经被设计为从发布之初就使用HTTPS加密，比如下一代HTTP/2协议。其他主要标准，如Brotli（一种比gzip性能更好的压缩算法）以及谷歌的AMP，也都是围绕着HTTPS支持而设计的。什么是安全内容（Secure Contexts）W3C定义的“安全内容（Secure Contexts）”是指当顶级浏览内容没有存在于不安全的开放浏览环境中时，这些内容是安全的。通过HTTPS加密访问内容资源被认为是“安全内容”，通过HTTP明文访问内容资源被认为是“不安全内容”，而从HTTP页面访问HTTPS资源或嵌套HTTPS资源，以及从HTTPS页面访问HTTP资源或嵌套HTTP资源等情况，都会使得内容存在于不安全的环境中，都被认为是“不安全内容”。简而言之，所有页面（包括父页面及打开页面）都必须安全传输内容，才称为“安全内容”。（图片来源：W3C）如果网页包含不安全内容，浏览器将会以独特的标识标记网页并警示用户。哪些高级功能仅限“安全内容”？Firefox宣布高级功能仅限“安全内容”并不是个例，早在去年7月，谷歌也宣布一些仅限使用HTTPS加密的Chrome功能。下图为目前仅限“安全内容”的浏览器高级功能列表。（图片来源：Mozilla开发者中心）目前，所有的主流浏览器都要求网站使用HTTPS加密。这意味着，如果你还在用未加密的HTTP协议，那这些高级新功能就和你的网站无关了。网站推送通知、允许网站安装应用、信用卡自动填充和付款API等新功能，有效地利用用户参与度实现网站转化，带来切实的商业利益。沃通CA提供全线SSL证书产品和HTTPS加密升级方案，帮助您安全地实施浏览器高级功能，提升网站功能体验。咨询沃通快速获取最适合您网站的HTTPS升级方案。沃通WoTrus原创整理，转载请注明来源

本帖最后由 沃通WoTrus 于 2018-1-12 16:29 编辑很多互联网用户可能遇到过这样的问题：·正常访问网站，页面突然弹出各种“屠龙宝刀点击就送”、“充值XX元就可获得流量大礼包”之类的弹窗广告；·访问的域名没有错，却连接到一个虚假网站上；·网站账号密码、访问轨迹、隐私数据泄露，被不法分子贩卖；…… 互联网用户习惯了在浏览器地址里输入http:// 格式的网址，但是却并不知道其实HTTP是非常不安全的明文传输协议，HTTP明文协议的缺陷，是造成上述安全问题的重要原因。通过HTTP明文协议传输的数据，时刻处在被窃听、篡改、冒充的风险中。沃通SSL证书为服务器、云主机提供传输加密和可信认证方案，加密传输数据、验证服务器身份，保护数据机密性、完整性及服务器身份真实性，有效解决数据泄露、数据篡改、流量劫持和虚假服务器攻击等安全问题，确保客户端和服务器之间的信息交互始终安全。为什么需要部署SSL证书？ 目前互联网常用的HTTP协议不提供加密和校验机制，所有通信数据都在网络中明文“裸奔”；HTTP协议无法验证通信方身份，任何人都可以伪造虚假服务器欺骗用户，实现“网站欺诈”。HTTPS协议是安全的加密传输协议，在HTTP的基础上加入了SSL/TLS协议，具有服务器身份验证、数据加密和完整性校验的功能。 沃通SSL证书为网站提供HTTPS加密升级方案，服务器部署沃通SSL证书可激活SSL/TLS协议，实现HTTPS加密访问，为客户端和服务器端之间建立“SSL加密通道”，防劫持、防监听、防篡改，保护网站数据安全；并通过SSL证书验证服务器身份，确保数据传输到正确的通信方，防止虚假服务器攻击。 沃通SSL证书上线华为云市场 近日，沃通SSL证书系列产品正式上线华为云市场，沃通SSL证书联合华为云市场提供一站式安全产品采购方案，快速颁发证书、灵活管理证书资源，携手共建安全便捷的云服务生态。 沃通为华为云市场用户提供的SSL证书服务具有以下优势： ·SSL产品全球信任沃通提供的SSL证书产品全球信任，具备广泛兼容性，支持所有浏览器和移动终端，支持Java和老设备；提供不同认证级别的SSL证书，支持单域名、多域名和通配域名，满足不同的用户需求，应对各类行业应用场景。·证书管理安全便捷沃通为华为云用户提供专属的证书管理后台，支持证书申请、签发、重新颁发、吊销等全生命周期管理；系统接口采用HTTPS加密，保护用户数据安全。·专业团队全天候服务沃通官方服务支持团队提供7×24小时全天候服务，为华为云市场用户提供SSL证书产品咨询和售后服务，无论节假日或深夜都能及时响应用户需求。登录华为云市场，一站获取SSL证书服务现在登录华为云市场，搜索“沃通SSL”，或选择“云市场—安全市场—网络安全”即可查看沃通SSL证书产品详情或立即下单购买，轻松一站式获取SSL证书产品和优质服务。1、在线申请沃通SSL证书进入华为云市场，选购所需的沃通SSL证书产品，登录“沃通-华为云SSL数字证书管理系统”完善资料并完成身份验证，即可获取SSL证书。 2、部署SSL证书成功申请到SSL证书后，用户会得到一个含密码的压缩包文件，里面包含适用多种服务器类型的证书文件，根据自己的服务器类型选择对应的证书文件，依照对应的服务器证书部署指南，将SSL证书文件部署到服务器上。 3、在线测试在浏览器或相应客户端通过https://访问已部署SSL证书的站点，测试SSL证书是否安装成功。 关于沃通 沃通CA（https://www.wosign.com/）专注数字证书行业十余年,是工信部许可的电子认证服务机构，致力于PKI技术研究和产品应用，为构建安全可信的互联网环境，持续提供全球信任的SSL证书、代码签名证书等数字证书产品，以及互联网安全应用产品。如果您希望了解更多关于HTTPS与SSL证书相关的信息，请联系沃通。