火狐用SEC_ERROR_REVOKED_CERTIFICATE证书报告GoDaddy，该网站无法工作

Question

我的网站在Firefox中不起作用。

以下是由drmohanskinandhaircentre.com颁发的有关GoDaddy安全证书的信息：

我该怎么办？

Answer 1

您的证书已被颁发证书的CA撤销。

如果你去https://www.ssllabs.com/ssltest/analyze.html?d=drmohanskinandhaircentre.com，你可以看到：

Revocation status   Revoked   INSECURE
Trusted     No   NOT TRUSTED (Why?)

还有更多的细节。

更简单的是，转到https://certificate.revocationcheck.com/drmohanskinandhaircentre.com，它清楚地显示GoDaddy OCSP服务回答证书被撤销：

http://ocsp.godaddy.com/ (GET)
OCSP response information
Source: OCSP server listed in Certificate
Location: http://ocsp.godaddy.com/
Size: 1801 bytes (DER)
Response time: 46.395892ms
Signature algorithm: SHA256-RSA
Signature type: CA Delegated
Signed by: Go Daddy Validation Authority - G2
Issued by: Go Daddy Secure Certificate Authority - G2
Signing certificate validity: Oct 16, 2018 2:00:00 AM - Oct 16, 2019 2:00:00 AM
Signing certificate algorithm: SHA256-RSA
Reported statuses: 1
This update: Jan 4, 2019 10:40:17 AM
Next update: Jan 5, 2019 10:40:17 PM
Produced at: Jan 4, 2019 10:40:17 AM
Server status: Success
Status: Revoked

您还可以浏览公共证书日志透明度接口，例如在：https://crt.sh/?q=7dd23716842483fe2081303314f039e91f6f0c78ce1eeb98831115e7ae4269a2生成证书

我们在那里了解到：

Mechanism           Provider    Status                         Revocation Date  Last Observed in CRL    Last Checked (Error)
OCSP                The CA      Check                              ?    n/a     ?
CRL                 The CA      Revoked (cessationOfOperation)  2018-11-13  05:09:44 UTC    2019-01-04  12:58:31 UTC    2019-01-04  19:46:22 UTC
CRLSet/Blacklist    Google      Not Revoked                     n/a     n/a     n/a
disallowedcert.stl  Microsoft   Not Revoked                     n/a     n/a     n/a
OneCRL              Mozilla     Not Revoked                     n/a     n/a     n/a

看来你的证书从2018-11-13就被吊销了。如果您搜索主机名上的所有证书，在https://crt.sh/?q=drmohanskinandhaircentre.com，您会发现在很短的时间内发出了相当多的证书，这是很奇怪的。

您需要联系CA或此证书的提供者，并请求另一个证书，因为当前的证书现在是无用的。如果你想，你也可以问它为什么被撤销，但你可能得不到答案，即使你这样做也无助于解决你的问题。

还要注意的是，并不是所有的浏览器都在执行OCSP检查，它们可能被禁用、破坏或过滤掉。因此，一些浏览器可以连接到网站，仅仅是因为它们没有执行发现撤销所需的OCSP检查。

正如"Don“所评论的，通过使用只为特定主机名生成的证书，您将来可能会遇到较少的问题。目前(已撤销的)一项是：

Common names    advcontractors.co.uk
Alternative names   advcontractors.co.uk www.advcontractors.co.uk advshutter.co.uk nrihairtransplantcentre.com ivfcentreinmoga.com sofatinfertility.in drmohanskinandhaircentre.com clinicbychoice.com

对于这样的证书，如果任何名称(比如更改名称的持有者或不被更新，在这种情况下CA必须根据CAB论坛的要求撤销证书)出现问题，则整个证书必须被撤销，因此其中的所有名称都是命运的。