关于浏览器信任证书的问题

[klo424]

做了一个网站，要部署到客户内部局域网网络，页面和接口都是使用 https 协议的。

问题是用户首次打开网站的时候，会显示证书不受信任，并且要点击高级，再点击继续访问，才能打开页面。然而让每个用户都去点一遍实在影响用户体验，客户也不会认同。

现在想跳过点击高级再点击继续访问这一步骤，实现输入 ip 地址即可直接访问网站。

查了很久，貌似无法跳过这一步，自签证书就是不受信任的。

有什么办法可以解决吗？

认证看了大家的回复，提供的解决方案相比用户点两下还是要复杂一些。我们公司是提供软件服务的，客户都比较强势，基本不会配合，所以只能自己去解决，这个问题我觉得没办法解决了，还是让用户点两下吧。

[id7368]

做个证书让他们 it 批量添加到受信根证书里

[virusdefender]

无解，除非加根证书

[klo424]

@id7368 #1 具体是怎么搞？能展开讲讲吗？

[RiverMud]

引导客户装下证书呢？像 12306 那样。

[klo424]

@RiverMud #4 12306 有证书呀。刚试了一下也没引导啊？

[miyuki]

就是手动把证书加到系统的受信任证书列表

[miyuki]

最早 12306 网站就是搞了个所谓的自签名证书

[serialt]

chrome 走的是系统证书，firefox 走的是浏览器内置证书

[klo424]

@miyuki #6 那还是难办，比点击两下按钮要麻烦的多。

[billlee]

局域网也可以配置域名然后找 CA 签发真证书。

[klo424]

@billlee #10 可以在我网站同一台服务器上建一个 DNS 服务解析域名吗？

[Nile20]

找支持的 CA 申请一个基于 IP 地址的证书。印象中 ZeroSSL 有免费的，但是不确定是否可长期使用&有商业支持

[mxT52CRuqR6o5]

花钱注册个域名用域名买个有效期长点的证书，在内网部署时把网站配置成这个域名

[klo424]

@Nile20 #12 只能免费用 3 个月，相比点两下浏览器还是麻烦一下。

[Nile20]

不好意思没注意是局域网。局域网 IP 段我不确定能不能申请，恐怕很难。想到两种方法，一种可以申请一个普通的泛域名证书，在公司内的 DNS 将业务域名解析到内网 ip 地址。另外一种是生成自签名证书，让 IT 通过组策略推送给所有电脑

[bobryjosin]

通过 dns 申请域名证书，再把 dns 劫持到内网地址就可以实现 https 了，我就是这么干的。

[klo424]

@mxT52CRuqR6o5 #13 域名解析也得在内网，DNS 服务可以部署到同一台服务器解析域名吗？

[mxT52CRuqR6o5]

@klo424
只能说理论上这种内网系统应该有地方可以配置 dns 解析，具体实践的话就不清楚了
我提这个方案主要是因为域名证书比较容易获得

[klo424]

@bobryjosin #16 能展开讲讲么？具体怎么劫持？我真是不太懂这一块。

[miyuki]

@klo424

总结一下

1. 使用真的域名，正常申请到的真域名证书，然后 DNS 解析到局域网地址
2. 正常申请为 IP 签发的证书（ OV ？），然后客户机直接 https://ip 地址
3. 使用自签证书（ CA ），然后手动加到客户机系统信任证书列表
4. 使用自签证书（ CA ），通过 IT 管理员（域）下发证书（ CA ）

[miyuki]

@miyuki

前两个方案或多或少需要客户机能上网，如果不能上网就要维护内网 DNS 或者 Hosts 。（不确定客户机长期没联网，对这些“合法”证书的使用是否会有影响？）

[bobryjosin]

@klo424

[klo424]

@miyuki #20 1. 局域网使用，默认是不需要连接公网的，怎么去搞 DNS 在本地解析呢？

[billlee]

如果客户本来就有 DNS 服务器或域控，那最好就用现成的。没有的话，新搭建搭一台，就也要通过 DHCP 或者劫持的方式来下发配置了，这个时候你可能就还要考虑可用性的问题了。

[bobryjosin]

@klo424 如果公司内网有审计设备可以在审计设备上设置规则把解析指向内网，或者将客户端 dns 指向内网的一台服务器，在内网 dns 服务器上设置 dns 重写，证书续期用脚本定期续一下就可以了

[mango88]

把网页打包成一个应用给客户 （狗头

[IvanLi127]

他们公司没 it 吗？没 it 就多点两下就多点两下，有 it 就让他们 it 下发根证书到每个设备上，信任了就不会提示不安全了。
另外，没必要猜客户的心思，他们愿意花钱找你们解决你们再解决呗。

[yinmin]

用 digicert 的 SSL 证书啊，这个根证书是默认内置在 windows 里的

[lovelylain]

免费证书，acme.sh 自动续签；或者公司有入网标准化程序的话，在这个程序里自动安装根证书；没有就写个指引让用户手动安装；啥都不想就忍吧。

[miaomiao888]

说到证书安全就想到 360 浏览器，它默认就是允许访问不安全的链接，也没有安全提示。