windows 下申请支持泛域名的免费 ssl 证书

certifytheweb

非常方便的图形化证书申请/续期工具

1. 下载并安装 certifytheweb
2. 点击新建证书
3. 添加域名的输入框里填写类似：*.aweiu.com 的泛域名
4. 会出现两个提示框，一路确定
5. 点击 Authorization
6. 验证类型选择 dns-01
7. DNS Update Method 选择 (Update DNS Manually)，当然了，如果下拉列表里正好有你使用的域名服务商，比如阿里云，那选择一个支持的服务商 api 来做自动解析就更方便了。（阿里云对应的 AccessKey 和 Credentials 可以来 这里 申请）
8. 点击请求证书，等待进度条结束后按照提示给你的域名添加 TXT 解析（或者按照上面说的服务商 api，就不需要手动添加解析了）。不过要补充的是如果是泛域名的 TXT 解析会让你添加两条解析记录（形如 *.aweiu.com 和 aweiu.com），按照提示在 aweiu.com 这个主域名下面添加两条名字一样的解析记录就可以。
9. 再次点击请求证书，等待进度条结束后会出现 success 提示，如果出错了请检查域名解析验证是否配置正确
10. 勾选 Show Advanced Options，点击 Other Options 后可以看到证书路径(ProgramData 默认是个隐藏文件夹)

证书格式转换

如果上面生成的 pfx 格式证书不是你想要的话，你可以通过 openssl 来转换格式。如果你没有安装过它的话，推荐去这里下载 Light 的版本的 MSI 格式，下载安装后可以把它添加到环境变量用起来方便些。

然后 pfx 转各种证书格式网上搜索 openssl 命令吧！转换过程中会要求你输入 password，直接回车就好！ 然后附上 pfx 转 pem 命令：

// 证书转换
openssl pkcs12 -in 你的pfx证书名.pfx -nokeys -out cert.pem
// 私钥转换 这一步可能会提示你 Enter PEM pass phrase，那就输入一个密码吧
openssl pkcs12 -in 你的pfx证书名.pfx -nocerts -out key.pem -nodes
// 如果上一步你输入了密码，你得到的将是一个加密的 key，使用下面的命令 + 上一步输入的密码来解密 key 吧！
openssl rsa -in key.pem -out no-key.pem