為了幫助商戶平穩(wěn)、高效地更換新舊平臺(tái)證書，微信支付為商戶提供了微信支付平臺(tái)證書更換工具。本文面向商戶開發(fā)者介紹如何使用平臺(tái)證書更換工具，完成新舊證書的更換。
# 準(zhǔn)備開始
商戶開發(fā)者應(yīng)仔細(xì)閱讀 微信支付平臺(tái)證書，了解平臺(tái)證書的關(guān)鍵概念和更換機(jī)制，并遵循指引實(shí)現(xiàn)商戶系統(tǒng)獲取、使用、部署和更新平臺(tái)證書等關(guān)鍵功能。
# 已支持多證書驗(yàn)簽的商戶
如果商戶系統(tǒng)已經(jīng)獲取并部署了新舊證書，且支持根據(jù)微信支付 API 應(yīng)答或通知回調(diào) HTTP 頭中的 Wechatpay-Serial 選擇對(duì)應(yīng)的平臺(tái)證書驗(yàn)證簽名。請(qǐng)參考以下步驟灰度更換平臺(tái)證書。
# 步驟一：登錄商戶平臺(tái)，進(jìn)入平臺(tái)證書管理
如下圖所示，請(qǐng)登錄微信支付商戶平臺(tái)，進(jìn)入【賬戶中心-API安全-平臺(tái)證書】，點(diǎn)擊“管理證書”。
# 步驟二：?jiǎn)?dòng)灰度
如下圖所示，請(qǐng)點(diǎn)擊新平臺(tái)證書旁的“啟動(dòng)灰度”按鈕。
# 步驟三：選擇灰度方式
平臺(tái)證書更換工具提供了提供了兩種灰度方式：
- 自動(dòng)灰度：微信支付按照固定的節(jié)奏灰度更換新證書，于每周一和每周四的10:00逐步提升新證書簽名的比例
- 手動(dòng)灰度：商戶開發(fā)者可自定義灰度比例，自行控制灰度進(jìn)展
# 步驟四：驗(yàn)證使用新證書驗(yàn)簽成功
啟動(dòng)灰度后，應(yīng)立即觀察監(jiān)控和系統(tǒng)日志，確認(rèn)商戶系統(tǒng)收到了新證書的消息簽名，并驗(yàn)證簽名成功。
# 終止灰度
在灰度過程中，若商戶系統(tǒng)出現(xiàn)驗(yàn)簽失敗等異常，請(qǐng)及時(shí)點(diǎn)擊【終止灰度】，停止灰度。停止灰度后，微信支付將使用舊平臺(tái)證書對(duì)應(yīng)的私鑰簽名，商戶使用舊平臺(tái)證書驗(yàn)證簽名。
# 僅支持部署一份平臺(tái)證書的商戶
若商戶系統(tǒng)僅支持一份微信支付證書，且無開發(fā)能力實(shí)現(xiàn)多證書驗(yàn)簽，則只能停止服務(wù)，“一次性”更換平臺(tái)證書。
危險(xiǎn)
該方法風(fēng)險(xiǎn)極高。一旦發(fā)生錯(cuò)誤，可能導(dǎo)致商戶業(yè)務(wù)長時(shí)間業(yè)務(wù)無法進(jìn)行。商戶應(yīng)盡量避免使用。
當(dāng)部署完新證書后，請(qǐng)商戶開發(fā)者參考前一部分指引，執(zhí)行以下步驟：
- 登錄商戶平臺(tái)，進(jìn)入【賬戶中心-API安全-平臺(tái)證書】
- 點(diǎn)擊“證書管理”，進(jìn)入平臺(tái)證書管理
- 點(diǎn)擊已部署證書旁的“啟動(dòng)灰度”按鈕，啟動(dòng)灰度
- 選擇手動(dòng)灰度，并跳過灰度，直接將灰度比例直接設(shè)置為100%。這時(shí)微信支付將全部使用新證書對(duì)應(yīng)的私鑰簽名，商戶須使用新證書驗(yàn)證簽名。
# 如何修改新平臺(tái)證書返回時(shí)間
為了幫助商戶平穩(wěn)、高效地更換新舊平臺(tái)證書，微信支付會(huì)在舊平臺(tái)證書過期前180天開始同時(shí)返回新證書和舊證書。如果商戶系統(tǒng)無法及時(shí)處理多張證書，需要推遲下載接口返回新證書，以進(jìn)行系統(tǒng)改造。
以下是具體操作步驟：
- 登錄商戶平臺(tái)，進(jìn)入【賬戶中心—API安全—平臺(tái)證書】，點(diǎn)擊“管理證書”
- 在平臺(tái)證書頁面，點(diǎn)擊“下載證書接口管理”
- 在下載證書接口管理，修改新證書返回的時(shí)間，最晚可推遲到舊證書過期前的120天。
