Certum 提供的证书对开源项目的开发者来说价格合理。这个服务很棒，这样我们就不需要为了一个证书每年花费数百美元。因此我为我的项目购买了一个证书。

考虑到实际获取证书的过程非常困难，因此我决定将这个过程分享出来：

生成 Keystore

这个过程主要是在本地生成 keystore 

 keytool –keystore clientkeystore –genkey –alias client Enter keystore password:  javacaps What is your first and last name? [Unknown]:  development.sun.com What is the name of your organizational unit? [Unknown]:  Development What is the name of your organization? [Unknown]:  Sun What is the name of your City or Locality? [Unknown]:  Monrovia What is the name of your State or Province? [Unknown]:  California What is the two-letter country code for this unit? [Unknown]:  US Is <CN=development.sun.com, OU=Development, O=Sun, L=Monrovia, ST=California, C=US> correct? [no]:  yes  Enter key password for <client> (RETURN if same as keystore password):

导出 CRT 文件

当你购买 Certum 证书的时候，你将必须提供这个 CSR 文件。

 keytool –keystore clientkeystore –certreq –alias client –keyalg rsa –file client.csr

购买证书

从 Certum 购买开源证书，然后按照他们在线流程提示上传 CSR 文件。

这时候你需要发送一些身份证明资料过去，就跟你的护照和水电费。一旦验证了你的身份，Certum 就会回复你证书的下载链接。

导入 CA 证书

现在访问 https://www.certum.eu/certum/cert,expertise_root_certificates.xml 并下载下列 PEM 文件：

• Certum 证书颁发机构
• Certum 可信网络认证机构
• Certum Level III CA 公钥
• Certum 代码签名 CA SHA2 公钥

别问我为什么需要这些 PEM 文件，在经过无数次 Google 搜索以及测试和犯错之后，我验证了上述的这些内容可行。

导入这些 PEM 文件到你的 Keystore 密钥库中。下面是导入 PEM 文件的命令，你需要执行 4 次，下载的 4 个 PEM 文件每个执行一次用于替换 CA.pem 文件。你还需要为每个文件导入一个唯一的别名（我这里用的是 certum1 - certum4）。

 keytool -import -keystore clientkeystore -file CA.pem -alias certum1

导入 CER 文件

一旦所有的 4 个 PEM 文件都导入完毕，你就可以导入 Certurm 提供的 CER 文件：

 keytool -import -keystore clientkeystore -file mycertificate.cer -alias server

对代码签名

这时候你已经有一个 Keystore 可以用来签署你的 JAR 文件了。

 jarsigner -keystore clientkeystore -storepass ${PASSWORD} -keypass ${PASSWORD} myapp.jar server