域名的 PEM 是怎么配进边缘网关的

"请把 PEM 发我" — 大多数云厂商的控制台只需要你粘两个文本框,而不是写一段 OpenSSL 命令。这篇把 why 讲清楚。

两个文件

Let's Encrypt(以及大多数 CA)签完会给你两个东西:

① fullchain.pem — 你的证书 + 中间证书链。Nginx/网关需要的"完整链"。
② privkey.pem — 你的私钥,生成 CSR 时配对的那把。

为什么"粘到控制台"就够

边缘网关(CDN、CLB、CloudBase 静态托管的 HTTPS 选项)后面都是一份 Nginx/Envoy 配置。你粘进去的文本会被原样写进 ssl_certificate 和 ssl_certificate_key。如果控制台让你粘"证书"和"私钥"两个 textarea,你粘的内容就是 fullchain 和 privkey。

留意"合并证书"那个坑

有些老式面板只接受一个文本框,要求你把证书和中间证书拼在一起。顺序是:你的证书 → 中间证书 → 根证书(可选)。整段粘进去,首尾带 -----BEGIN CERTIFICATE-----。

自动化

个人主页级别一年手动续一次完全 OK。如果你的站点开始用 acme.sh / Caddy 这种自动续签工具,基本就不用再"管"PEM 了 — 工具会自己 reload。

贴一段 fullchain 不会被偷 — 但请勿把 privkey 发给任何"客服"或群里。私钥是信任链的根。