AWS Certificate Manager， AWS 也提供免费证书了！

还能再长一些吗

这也算是鸡肋吧，只能用于自家的产品……

不过看图，好像支持野卡。

好长好长
长长长长长
五个唉

只能用于自家这个无爱了。。

为什么我这里看到的只有四个？？？
@rainy3636
@imWBB

@moult 在控制面板可以申请的

@SharkIng 因为 OSX 将 Starfield Services Root Certificate Authority - G2 也收录到受信任的系统根证书列表了。浏览器验证和显示证书链时，找到第一个根证书即可。

但是为了保证兼容性，服务端还是得输出四个证书，这会导致 TLS 握手阶段的 Certificate 响应变大，不好不好。

我之前的文章有写到证书这块：
https://imququ.com/post/optimize-tls-handshake.html#toc-2

@qgy18 原来是这样。。。。

@qgy18 你又换回 RapidSSL 啦？

话说， RapidSSL 可以 reissue SHA-2 root 的证书了， Intermediate CA 是 RapidSSL SHA256 CA - G4

看 AWSTrust ，其实也有 ECC 的两条，但是受制于根证书的信任问题，暂时只能做交叉信任了...

@Had 是啊，因为 Let's Encrypt 的中间证书在 XP 下有问题。我打算等它出 ECC 的时候再切过来，反正 XP 也不支持 ECC 。

@Had 好奇怪，我港区 reissue 了一下，还是 G3 ，这个需要做什么特殊操作么？

@qgy18
在 Reissue 界面，有个： Hashing Algorithm
可选项为：
1. SHA256 with RSA or DSA and SHA-1 root
2. SHA256 with RSA and SHA256 root

选 2 即可...

进入管理界面： https://products.geotrust.com/orders/orderinformation/authentication.do

@Had 嗯，我是在 namecheap.com 买的证书，联系他们客服搞定了。
之前我都是在 namecheap 后台 reissue ，跟他们客服说了需求后，直接让我去 geotrust 后台操作。



namecheap 客服还是很专业的。

@qgy18

你的 Nginx 还是这个配置么？
https://imququ.com/post/my-nginx-conf-for-security.html

我发现如果去掉 ssl_dhparam 在你的 cipher suite 下应该是没有影响的。

@Had 去掉 ssl_dhparam 是走默认的 dhparam ，是没有影响的。

我现在 cipher suite 用的下面这个，换成了 cloudflare patch 的 openssl ，别的没有变动。
https://github.com/cloudflare/sslconfig/blob/master/conf

@qgy18

我的意思是指，去掉 ssl_dhparam 并不影响 SSLLABS 评分（加密强度）。
之前的配置之所以要自己生成的原因是，默认的 dhparam 强度不够。

"自家"已无爱= =