平台证书更换操作指引

为了帮助商户平稳、高效地更换新旧平台证书，微信支付为商户提供了微信支付平台证书更换工具。本文面向商户开发者介绍如何使用平台证书更换工具，完成新旧证书的更换。

特别提示

平台证书有效期为5年，商户每5年需主动更换一次。为避免更换不及时或更换过程中出现的系统风险影响业务，商户可根据系统实际情况评估，将平台证书模式切换为微信支付公钥模式。

切换流程参考 如何从平台证书切换成微信支付公钥

准备开始

（1）商户开发者应仔细阅读 平台证书简介及使用说明，了解平台证书的关键概念和更换机制，并遵循指引实现商户系统获取、使用、部署和更新平台证书等关键功能。

（2）以下所有的操作应当在贵司技术人员的指导下进行，需要先将技术人员配置为安全联系人，配置方法参考如何设置安全联系人

平台证书自动化切换流程介绍

持续调用平台证书的活跃商户，在平台证书过期前210天开始进入自动化切换流程。

系统会在过期前210天自动生成新证书并通知商户；默认情况下，在过期前180天自动返回新证书、过期前90天开启自动灰度。可访问商户平台，前往API安全-管理证书查看。

系统默认会在过期前180天自动返回新证书；若需调整时间（提前或延迟），可在管理证书栏目修改返回时间，最晚可选过期前120天。

系统返回新证书后，系统默认会在过期前90天进入自动灰度，由系统把控节奏；若需提前，可开启手动灰度，商户自主把控节奏。

进入灰度流程后，可根据实际情况随时操作终止灰度。终止后无法再触发自动灰度，需手动再次开启灰度。

请确保在过期前完成新证书的更换，若未完成，系统会在旧证书过期时自动更换为100%使用新证书。

若商户超过90天未曾调用证书，则默认不再使用平台证书服务，不会进入自动化切换流程。

若商户在旧证书过期前210天后再次调用证书，将沿用该时间节点对应的默认流程。

如过期前190天再次产生调用，则在次日生成新证书，默认在过期前180天返回，也可在系统内手动修改返回时间。

如过期前140天再次产生调用，则在次日生成并返回新证书，默认在过期前90天自动灰度新证书。若需要调整新证书返回时间，可在系统内选择回退，即重新设置返回时间。

如过期前100天再次产生调用，则在次日生成并返回新证书，默认在过期前90天自动灰度新证书。

如过期前60天再次产生调用，则在次日生成并返回新证书，只能人工操作，手动灰度新证书。

如何修改新平台证书返回时间

为了帮助商户平稳、高效地更换新旧平台证书，微信支付默认会在旧平台证书过期前180天开始同时返回新证书和旧证书。

如果商户系统无法及时处理多张证书，需要推迟下载接口返回新证书，以进行系统改造。

以下是具体操作步骤：

已支持多证书验签的商户

如果商户系统已经获取并部署了新旧证书，且支持根据微信支付 API 应答或通知回调 HTTP 头中的 Wechatpay-Serial 选择对应的平台证书验证签名。请参考以下步骤灰度更换平台证书。

步骤一：登录商户平台，进入平台证书管理

如下图所示，请登录微信支付商户平台，进入【账户中心-API安全-平台证书】，点击“管理证书”。

步骤二：启动灰度

如下图所示，请点击新平台证书旁的“启动灰度”按钮。

步骤三：选择灰度方式

平台证书更换工具提供了两种灰度方式：

步骤四：验证使用新证书验签成功

启动灰度后，应立即观察监控和系统日志，确认商户系统收到了新证书的消息签名，并验证签名成功。

终止灰度

在灰度过程中，若商户系统出现验签失败等异常，请及时点击【终止灰度】，停止灰度。停止灰度后，微信支付将使用旧平台证书对应的私钥签名，商户使用旧平台证书验证签名。

仅支持部署一份平台证书的商户

若商户系统仅支持一份微信支付证书，且无开发能力实现多证书验签，则只能停止服务，“一次性”更换平台证书。

当部署完新证书后，请商户开发者参考前一部分指引，执行以下步骤：