HTTPS 与证书

为 Web 管理端和 HTTPS 代理配置共用服务端身份，建立客户端信任，并独立规划证书续期及恢复。

在 Mac 上生成或导入

企业设置仅企业版可用。HTTPS 加密对应监听端口，不能替代管理员或代理身份认证。

1. 打开通用 → 企业设置。更改证书前，停止本地 API 和 HTTPS 代理。
2. 选择生成 HTTPS 证书…创建本地 CA 和服务端证书，或导入 PKCS#12 服务端身份（.p12／.pfx）并输入密码。文件必须包含配对的服务端私钥，不要分发给客户端。
3. 填写客户端实际访问的 DNS 名称／IP，不带协议、端口或路径，并保留回环名称以便本机访问。IP 变化可能需要新证书。
4. 使用本地 CA 时，点击导出本地 CA…，仅在各客户端安装并信任这个公有证书，不分发 CA 私钥。应用不会自动修改系统信任。
5. 重启 API，打开显示的 https://…:10790/admin 地址（或已保存端口），核对证书信任及连接名称，不要跳过警告。

启用独立 HTTPS 代理

启动透明代理和代理模式网络共享，选择 HTTPS 代理监听地址及未占用的 TCP 端口（默认 10792），启用后确认运行中。编辑监听地址或端口前先关闭 HTTPS 代理。客户端必须支持 HTTPS 代理并信任其证书，基础 Wi-Fi HTTP 代理设置不一定兼容。

HTTP/SOCKS 与 HTTPS 共用代理凭据。多用户接入要求认证；关闭多用户后，如明确关闭认证，HTTPS 也可以匿名接入，但 TLS 不代表匿名接入安全。原有 HTTP/SOCKS 端口仍独立且未加密；HTTPS 代理不会增加 UDP／QUIC，也不拦截网站证书。

续期与恢复

Web 设置中的证书操作要求所有者权限和可信传输：本机回环访问或 HTTPS。修改先保存，需在 Mac 上重启受影响服务才能生效。优先复用既有本地 CA 续期；更换 CA 后客户端必须重新信任。

未配置证书时，管理端可使用 HTTP/WS，但 HTTPS 代理无法启动。已配置身份无效、过期或不可读时会阻止启动，不静默降级。通过 Mac 端证书控件恢复，并检查名称、日期、钥匙串访问及端口冲突。

配置备份不包含 TLS 身份和 CA 私钥，应另行安排安全恢复。扩大访问范围前，阅读风险说明。