对于证书，如何启用对谷歌CA "CanSignHttpExchanges"扩展的支持？

Question

我想在我的网站中实现签名交换。我知道，在生产中，签名的交换需要一个具有CanSignHttpExchanges扩展的证书。我的网站托管在AWS上，我已经从SSL商店购买了我的域的SSL证书。现在我想从Google CA购买证书，这样我就可以获得CanSignHttpExchanges扩展的支持。

现在，我的问题是：

1. 如果我从谷歌CA购买证书，那么支持"；CanSignHttpExchanges"；默认情况下是否提供扩展？如果没有，我如何获得支持？

2. 如何在我的网站中添加证书？

3. 有没有办法定期自动更新证书？

Answer 1

1. Google不出售SSL证书。仅限AFAIK的Digicert销售(提供(CanSignHttpExchanges证书。

2. 请参阅Digicert文档，因为购买、证书签名请求和安装需要了解web服务器类型和DNS提供商才能确定步骤。您必须使用ECC TLS证书。

获取您的签名HTTP交换证书

3. 您必须每90天或更早更换一次证书。付款可以自动重新查看。Digicert支持ACME协议，该协议要求为签名的HTTP交换证书创建ACME目录URL。只要您的帐户已经支付了证书的费用，ACME客户端就可以下载并安装新证书

用于签名HTTP交换证书的ACME目录URL

只有DV和EV证书包含CanSignHttpExchanges功能。这需要验证您的域和公司标识。OV更容易，EV是相当严格的验证。您需要您的身份、电话和地址详细信息，以及公司信息文件，以保持良好的秩序和可验证性。