在线申请免费SSL证书

申请网站：http://farm.byph-china.com:8880/

（1）输入需要SSL的域名，如下图：





证书类型选择：RSA

验证类型选择：DNS

CSR生成选择：浏览器生成

点击“点击生成”按钮



在域名管理器中，选择"TXT记录"进行验证。

点击“手动验证”，确认没问题后，点击“生成证书”。

生成的证书包含两个文件，分别是*.pem 和*.key。

这里以Tomcat为例：

将key文件生成jks文件，并配置到tomcat中

(1)首先需要生成*.pfx文件

openssl pkcs12 -export -out /root/chain/server.pfx -inkey /root/chain/private.key -in /root/chain/full_chain.pem

需要设置新密码，提示输入两次，这里设置为：password。

(2)生成JKS文件

keytool -importkeystore -srckeystore /root/chain/server.pfx -destkeystore /root/chain/server.jks -srcstoretype PKCS12 -deststoretype JKS

其他命令：

(1)查看jks详细信息
keytool -v -list -keystore /root/key/server.jks

(2)修改别名

keytool -changealias -keystore /root/key/server.jks -alias “当前别名” -destalias “新的别名”

例如：keytool -changealias -keystore /root/key/server.jks -alias 1 -destalias otheralias

在Tomcat进行配置：

(1)放开8443配置，如下

<Connector port="8443" maxHttpHeaderSize="8192" maxThreads="150" minSpareThreads="25" maxSpareThreads="75" enableLookups="false" disableUploadTimeout="true" acceptCount="100" scheme="https" secure="true" SSLEnabled="true" clientAuth="false" sslProtocol="TLS" keyAlias="server" keystoreFile="/root/key/server.jks" keystorePass="password" />

红色区域为需要根据实际情况修改的地方。keyAlias需要和生成jks文件时的别名一致，否则会报错。

(2)修改conf/web.xml，在最后面新增如下代码：

<security-constraint>
<web-resource-collection>
<web-resource-name>Getssl</web-resource-name>
<url-pattern>/*</url-pattern>
</web-resource-collection>
<user-data-constraint>
<transport-guarantee>CONFIDENTIAL</transport-guarantee>
</user-data-constraint>
</security-constraint>