Procedură: alocarea (binding) unui certificat SSL/TLS la un site în IIS pe Windows Server

Situatie

Trebuie să aloci sau să înlocuiești un certificat SSL/TLS pentru un site găzduit în IIS pe Windows Server. Cazuri întâlnite:

Site nou → trebuie adăugat binding HTTPS (443) cu certificat
Certificat expirat/pe cale să expire → trebuie importat PFX și selectat în binding
Migrare site pe alt server → trebuie reimportat certificatul și refăcute binding-urile
Mai multe site-uri pe același IP public → trebuie activat SNI și setat Host name corect la fiecare
Apar avertismente în browser („Your connection is not private”, nume necorespunzător) → lipsă/greșeală în binding sau lanț de încredere incomplet (intermediate).

Mediu afectat: Windows Server 2012 R2/2016/2019/2022, IIS 8.5–10, certificate PFX/CRT.

Solutie

Pasi de urmat

I. Importul certificatului pe server

Variantă A (recomandat): Import PFX din IIS

Deschideți IIS Manager (inetmgr)
Click pe server (nu pe site) în panoul din stânga
Deschideți Server Certificates
În dreapta, Import… → selectați fișierul .pfx, introduceți parola → OK
După import, certificatul trebuie să apară în listă și să aibă „Has Private Key”.

Variantă B: Import din MMC (Certificates)

mmc.exe → File → Add/Remove Snap-in… → Certificates → Computer account → Local computer → OK
Navigați la Certificates (Local Computer) → Personal → Certificates
Click dreapta Personal → All Tasks → Import… → importați .pfx în Local Computer\Personal
Verificați certificatul: în coloană ar trebui să apară o cheiță (are cheie privată).

Important: Dacă aveți doar .cer/.crt și ați generat CSR în IIS pe acest server, în IIS → Server Certificates folosiți Complete Certificate Request…. Dacă CSR a fost pe alt server, nu veți avea cheie privată aici — refaceți CSR pe serverul corect sau exportați PFX din serverul inițial.

II. Alocarea certificatului la un site (Binding HTTPS)

În IIS Manager, deschideți Sites → selectați site-ul dorit
În dreapta, click Bindings… → Add… (sau Edit… dacă există deja HTTPS)
Completați:
- Type: https
- IP address: All Unassigned sau IP specific (dacă folosiți IP dedicat)
- Port: 443
- Host name: exemplu.domeniu.ro (FQDN exact cum apare în certificat / SAN).
- Require Server Name Indication (SNI):
  - Bifați dacă mai multe site-uri HTTPS partajează același IP (recomandat în 2025).
  - Debifați dacă aveți IP dedicat pentru acest singur site.
- SSL certificate: selectați certificatul importat.
OK → Close.
(Opțional) Restart site: în panoul din dreapta → Stop → Start (sau Recycle la Application Pool).

III. Verificări rapide

Din browser: accesați https://exemplu.domeniu.ro → lacăt verde, fără erori de nume/încredere.
Din PowerShell (pe server): Test-NetConnection exemplu.domeniu.ro -Port 443.

Tip solutie

Permanent

Follow Us