证书篇
API证书
API证书定义
API证书是用来证实商户身份的， 证书中包含商户号、证书序列号、证书有效期等信息，需要由证书授权机构(Certificate Authority ，简称CA)签发，以防证书被伪造或篡改。
证书类型
根据颁发证书的CA类型，可以将API证书分为两种：
（1）微信支付颁发的API证书——证书文件和私钥文件可从商户平台直接下载。
（2）权威CA颁发的API证书——需下载证书工具生成证书请求串，并将证书请求串提交到商户平台后才能获得证书文件，而私钥文件只能通过证书工具导出。证书下载地址如下：
windows版本 ：
mac版本 ：https://wx.gtimg.com/mch/files/WXCertUtilEn.dmg
适用范围
微信支付安全级别较高的接口（如：退款、企业红包、企业付款）时，会使用到API证书。
API证书获取流程
获取API证书需要商户号的超级管理员才能操作。
菜单路径：商户平台->【账户中心】->【账户设置】->【API安全】。
详细步骤如下：
1、若页面展示如下图，表示你的证书类型为“微信支付颁发的API证书”，可点击“下载证书”按钮，并按页面指引操作即可。
2、若页面效果如下图，表示你的证书类型为“权威CA颁发的API证书”，请点击“申请证书”按钮，并按以下指引完成证书申请。
2.1 步骤1 在【商户平台】-“提交请求串”环节，点击“下载证书工具”按钮；
步骤2 下载并打开文件“WXCertUtil”后；
步骤3 在【证书工具】，点击“申请证书”按钮，如下图：
2.2 在【证书工具】-“填写商户信息”环节，填写商户号和商户名称后，点击“下一步”按钮，可在【商户平台】查看商户号和商户名称；
2.3 步骤1 在【证书工具】-“复制请求串”环节，点击“复制”按钮后；
步骤2 在【商户平台】-“提交请求串”环节，在输入框粘贴请求串；
步骤3 输入“短信验证码”和“登录密码”；
步骤4 点击“下一步”进入【商户平台】-“复制证书串”环节。
2.4 步骤1 在【商户平台】-“复制证书串”环节，点击“复制证书串”按钮后；
步骤2 在【证书工具】-“复制请求串”环节，点击“下一步”按钮进入“粘贴证书串”环节；
步骤3 在【证书工具】-“粘贴证书串”环节，点击“粘贴”按钮后；
步骤4 点击“下一步”按钮，进入【证书工具】-“生产证书”环节。
2.5 在【证书工具】-“生成证书”环节，已完成申请证书流程，点击“查看证书文件夹”，查看已生成的证书文件。
2.6 请将生成的证书文件转交给技术人员，由技术人员将证书部署到服务器上。
重要提示： 请务必妥善保管证书及私钥，因为私钥文件只能通过证书工具导出，若私钥丢失，则无法找回。（私钥丢失了怎么办？）
API证书续期
商户API证书默认期限为1年，到期后需要商户执行API证书续期操作才可以继续使用商户平台的相关API接口。
续期处理方法：
1、登录商户平台
2、证书即将到期：证书到期前60天，商户平台会发送短信及邮件、公众号消息提醒商户执行
续期操作：
1）菜单路径：商户平台 -> 【账户中心】 ->【 API安全】
2）页面会有提示续期操作，点击【续期证书】即可完成续期操作，续期后使用时间延长一年。
操作界面如下图：
3）若证书已达5年使用时间，则页面提示只能【更换证书】，无法再续期。
3、证书已过期：原有证书已过期的情况（在续期周期内没有执行续期操作），过期当天会有短信及邮件、公众号消息提醒商户已过期
1）菜单位置：商户平台 -> 账户中心 -> API安全
2）过期一个月内，商户可进行【续期证书】，续期后使用时间延长一年。
3）过期时间超过一个月，则只能【更换证书】，新证书有效期为一年。
操作界面如下图：
4、操作证书未安装：
如提示操作证书未安装，请先安装操作证书。完成后，请返回【账户设置】->【API安全】完成证书续期，如下图。
API证书升级指引（技术人员）
API证书定义
技术人员在调用微信支付安全级别较高的接口（如：退款、企业红包、企业付款）时，会使用到API证书。
API证书的类型
1、API用来证实商户身份的， 根据颁发证书的CA类型，可以将API证书分为两种：
1）微信支付颁发的API证书。证书文件和私钥文件可从商户平台直接下载。
2）权威CA颁发的API证书。需下载证书工具生成证书请求串，并将证书请求串提交到商户平台后才能获得证书文件，而私钥文件只能通过证书工具导出。
2、API证书区分方法：
使用证书解析工具, 查看证书内容
3、证书区别
| 证书字段 | 微信支付颁发的API证书 | 权威CA颁发的API证书 |
|---|---|---|
| 证书颁发者 | MmpaymchCA | Tenpay.com Root CA |
| 证书序列号 | 小于20个字节的字符串 | 固定40字节的字符串 |
| 证书CN字段 | 商户的公司名称 | 商户号，格式为8-10位数字 |
| 证书信任链 | 文件: CertTrustChainWX.p7b md5摘要：c91ddfb6e9f0533e9a78dcdc89ca1080 sha256摘要：c826a1c900d445c372fff25968988c002493688c491c8e66cc8276a17003a12e |
文件: CertTrustChain.p7b md5摘要：77e0db6559b07624f538b1acf4ad81ca sha256摘要：fc4ef43a7fb2b08263345453e56297daf998a5dac6c501b38eb2df18a55f6a13 |
FAQ
Q：为什么要升级API证书？
A：从2018年6月开始，微信支付开始推广使用权威CA颁发的API证书，原微信支付颁发的证书可以直接升级为权威CA颁发的API证书。升级后的证书具有以下优点：
1、使用场景更广：可用于退款接口、企业付款等需要双向认证的接口，以及加密传输敏感信息等接口中。
2、兼容性更好：更换证书后，老证书48小时内有效，不会中断业务。
Q：如何升级API证书？
A：商户升级API证书时，需要完成三个步骤：
步骤1 商户号的超级管理员到商户平台升级证书，获取到权威CA颁发的API证书。 （查看指引）
步骤2 超级管理员将权威CA颁发的API证书（共包含三个文件： 证书pkcs12格式、证书pem格式、证书密钥pem格式）转交给技术人员。
步骤3 技术人员用新证书文件替换服务器上原微信支付颁发的API证书，无需对现有系统进行代码修改。
重要提示
升级为权威CA颁发的API证书后，微信支付颁发的API证书将在14天后失效。请务必尽快用新证书替换服务器上的老证书，以免影响线上交易。同时，请务必妥善保管证书及私钥，因为私钥文件只能通过证书工具导出，若私钥丢失，则无法找回。（私钥丢失了怎么办？）
API 密钥
API密钥定义
商户调用微信支付API时，要按照指定规则对请求数据进行签名。服务器收到请求后会进行签名验证，从而界定商户的身份并防止其他人恶意篡改请求数据。签名的计算规则中，使用到的key就是API密钥。
注意：API密钥属于敏感信息，请妥善保管不要泄露，如果怀疑信息泄露，请重设密钥。
API密钥设置
设置API密钥需要商户号的超级管理员才能操作，详细步骤如下：
1、登录微信支付商户平台，进入【账户设置】->【API安全】->【API密钥】中设置。
2、弹框中点击“确认”
3、证书区别
4、密钥设置成功
APIv3密钥
APIv3密钥定义
微信支付APIv3的下载平台证书接口以及回调通知中，为防止报文被他人其他人恶意篡改，服务器会对数据进行加密。商户收到报文后，要解密出明文，解密过程中用的key就是APIv3密钥。
【重要提示】
1、APIv3密钥属于敏感信息，请妥善保管不要泄露，如果怀疑信息泄露，请重设密钥。
2、APIv3密钥与API密钥是隔离的，设置该密钥时，不会导致API密钥发生变化。
APIv3密钥设置
设置APIv3密钥需要商户号的超级管理员才能操作，详细步骤如下：
1、登录微信支付商户平台，进入【账户设置】->【API安全】->【APIv3密钥】中设置。
2、输入要设置的密钥、短信验证码和操作密码。
3、密钥设置成功
