startssl 的 CA 是 sha1 签名的，所以在最新版的 chrome 中被认为不安全了

[lyragosa]

刚从startssl官网重新拉了一次证书链发现还是sha1。不过签给我的证书是sha2没错……

绿锁变黄了，有啥解决办法么？比如更新系统里面的CA啥的？

[TheJuli]

配置证书的时候不要把顶级那个 Root CA 贴进去试试?

[shierji]

不介意的话可以先用wosign

[xiaopc]

http://www.startssl.com/certs/ca-sha2.pem

[lyragosa]

@TheJuli 无论用不用ROOT的CA，都显示有两级证书链然后都是sha1

@xiaopc 这个用了也不好使……估计浏览器调用了系统的CA？

[xiaopc]

@lyragosa chrome有SSL缓存。

https://ooo.0o0.ooo/2015/08/15/55ceb76559cc9.png

https://www.ssllabs.com/ssltest/analyze.html?d=www.linodas.com&s=106.185.55.152

[lyragosa]

@lyragosa 感谢，不过强迫症看起来好不爽……
我看看如何更新这缓存……

[gonghao]

我的 AlphaSSL 的 CA 也是 sha1 然后同样 chrome 下红两道杠

[imlonghao]

@gonghao 应该可以更新你crt里面的上级证书的。

[gonghao]

@imlonghao 我去 GlobalSign 看了，AlphaSSL 用的是 GlobalSign CA - R1 那个只有 sha1 直接无奈~~而且也没发现 AlphaSSL 有更新的计划……

[xiaopc]

@gonghao chrome 44.0.2403.155 打开你的博客是绿锁啊…

[xiaopc]

@gonghao Chrome 不会检查根证书是否是 SHA1 的...
https://community.qualys.com/blogs/securitylabs/2014/09/09/sha1-deprecation-what-you-need-to-know

[gonghao]

@xiaopc 我是 Version 46.0.2478.0 dev (64-bit) 红杠~