| 公信证书 | 向 CA 提交吊销；ACME 场景多数直接重新签发并停用旧证书 |
|---|---|
| 私有 CA | openssl ca -revoke 后重新生成 CRL 并分发 |
| 依赖清单 | 客户端固定、双向认证白名单、应用信任库都要同步更新 |
私有 CA 吊销与 CRL 生成
私有 CA 吊销与 CRL 生成
openssl ca -config openssl.cnf -revoke revoked.pem
openssl ca -config openssl.cnf -gencrl -out ca.crl
openssl crl -in ca.crl -noout -text | grep -A2 'Serial Number' | head新旧证书并存期要明确停用时间点；只吊销不替换会造成服务中断。