发布日期：2026 年 10 月 18 日 · RootGS 技术指南
重新下载原证书无法解决私钥泄露。证书与私钥共同承担服务端身份，若旧私钥继续使用，攻击风险仍然存在；只吊销却未部署替代证书，也可能造成访问中断。
一、先明确处理方式与业务边界
生成新的密钥材料并申请替代证书，核对域名范围后部署到全部入口。根据事件影响及时吊销旧证书，同时检查私钥泄露路径并收紧存储、备份和人员访问权限。
二、用可重复的场景验证
在每个入口验证新证书已生效，确认旧密钥不再被运行配置引用。记录序列号、替换时间和吊销结果，检查自动部署任务是否会把旧文件重新覆盖回来。
三、一次具体的演练示例
演练可以使用测试证书，记录旧序列号、新序列号和各节点替换时间。实际事件中还要根据风险决定处理优先级，不能为了等待全部准备完成而忽略泄露仍在持续的情况。
四、把验收结果写成检查表
| 检查项目 | 预期结果 |
|---|---|
| 密钥替换 | 使用新材料 |
| 入口更新 | 全部节点完成 |
| 旧证书处置 | 有吊销记录 |
五、根据实际瓶颈安排资源
事件处理应同时覆盖证书和泄露原因。私钥不能写入工单正文或共享日志，排查时可以使用证书指纹及文件权限等非秘密信息。
六、应用到产品选型和交付验收
选择 SSL 证书时，应先整理实际访问域名、部署入口与维护责任人，再核对产品覆盖范围和申请要求。证书签发、安装部署及后续更新是连续流程；付款或文件下载完成，不能代替线上连接验证。
可查看 RootGS SSL 证书，将本文的检查项与实际应用需求一同用于方案比较和上线验收。
相关实现机制可进一步查阅官方资料：证书吊销机制。文中的流程建议用于业务设计与验收，并不表示产品默认包含所述软件或自动化功能。
