用了一次 StartSSL 免费证书，觉得流程很简单（比 Let's Encrypt 简单）。不知道有什么长期使用上的坑？比如一年到期 renew 时有没有意外？

[Radeon]

[VmuTargh]

PKI 服务器在大数字机房, 自己斟酌

[Radeon]

@VmuTargh 这有什么关系。签发证书你的私钥是不上传给 CA 的，实在不行换家 CA 签个新的

[shiji]

@VmuTargh 就算整个 CA 被端了，也是不能解密数据的。

[New2016]

已吊销根证书

[aofall]

@VmuTargh 在大数字机房又怎样 敢干坏事 就会像 CNNIC 一样被取消根证书信任
还有， Let's encrypt 由国内的云片网络提供网络，你咋不提这个？
https 是非对称加密，只要你私匙不泄漏，没什么问题。真要大动干戈的中间人攻击你，还不如直接爆破你的 vps

[oott123]

LE 是可以用脚本自动续期的啊，怎么也比 StartSSL 强一点吧。证书有效期短是好事，安全。

[a1058021348]

@aofall 话说。。是私钥吧。。。

以前我也误读私匙。。直到我写这个词的时候才发现。。。

[Andy1999]

@shiji
@aofall 但我可以再签一个呀 然后实现 MITM

[VmuTargh]

@shiji
@aofall
我自己站点也用 StartSSL, 之所以说这句是因为 v 站一大堆"被害妄想症", 不要到时发现"哦, 这丫居然是 360 的***"然后各种骂

[xuan880]

@aofall 逢中必黑，逢共比反，这就叫做政治正确。至于有没有理，对不对，谁在乎。

[VmuTargh]

@Radeon 我的建议是不要用 StartSSL 自己家的 CSR 生成工具, 这玩意还是自己本地 openssl 生成比较放心

[Radeon]

@VmuTargh 是的，我就是本地的 Linux 机器上的 openssl 工具生成的 CSR 。一年到期 renew 时是怎么样？有没有问题？

[VmuTargh]

@Radeon renew 应该没啥问题, StartSSL 在快到期的时候会发 email 提示你 renew 证书, 还有 Auth 证书记得备份, startssl 是通过证书登录的, 丢了比较麻烦

[aofall]

@Andy1999 然后被吊销根证书？不如查水表来得方便，而且还要啥有啥
还有 你被降权了 收不到你的回复提醒
@a1058021348 感谢提醒……
@xuan880 也是够了 不予评价
@VmuTargh 我还用 Wosign+LE 呢 StartSSL 的认证不知道为什么一直过不去

[VmuTargh]

@aofall 认证过不去...... 卡在邮箱验证了吧, 某些邮箱收不了 startssl 邮件也是醉了

[Radeon]

@aofall 用 qq.com 的邮箱可以轻松收信

[DesignerSkyline]

@aofall 云片只是赞助而已

[SoloCompany]

不要用 QQ
不要用微信
手动吊销 cnnic 根证书
手动吊销 startssl 根证书



还有吗？

[Slienc7]

@aofall 收不到提醒也可能只是臨時抽風或者你自己被降權。


StartSSL 除了會“隨機”觸發延遲簽發(告知你需要等幾小時到幾個工作日不等以備他們人工審核然後再給你簽)，以及週末例行維護不簽證書之外，應該沒什麼坑了。

[wdlth]

StartSSL 的 CRL 、 OCSP 等服务在国内是解析到 WoSign 的服务器，还不是为了国内的初级阶段网络环境访问方便。难道像以前 EdgeCast 被污染， DigiCert 、 Mozilla 、 WordPress 等网站遭殃，就好过了？
GlobalSign 还用百度云减速呢，难道也去吊销根证书？
这里还用的 TrustAsia ，是不是也要吊销中级证书？