密钥（Key）与证书（CRT/PEM）的关系密钥（Key）：是生成证书请求（CSR）时生成的私钥文件，只能配对一个证书请求。证书（CRT/PEM）：是根据你提交的 CSR 文件，由 CA 签发的，里面包含了你的公钥和相关信息。更换证书时是否可以只换 CRT/PEM，不换 Key？

可以的情况

你用原来的私钥（Key）生成了新的证书请求（CSR），然后用这个 CSR 去申请了新证书（CRT/PEM），这种情况下，新证书和原来的密钥是配套的，你可以只替换 CRT/PEM 文件，Key 文件保持不变。

不可以的情况

如果新证书不是用原来的私钥生成的 CSR 申请的，那么新证书和旧的密钥就不匹配，会导致证书安装失败或者服务无法启动。确认新证书的公钥和原私钥是否配对如果你不确定，可以用如下命令在服务器上校验（以 OpenSSL 为例）：检查私钥和证书的 modulus 是否一致：

openssl rsa -noout -modulus -in your.key | openssl md5

openssl x509 -noout -modulus -in your.crt | openssl md5

两个命令输出的 md5 值必须一致，说明是配对的。一般常见场景续费/重新签发：通常会用原来的私钥生成 CSR，这样只需替换 CRT/PEM 文件即可。全新申请：一般会生成新的私钥和新的证书，要一起更换。只要新证书是用原来的私钥生成的 CSR 申请的，就可以只换 CRT/PEM 文件，Key 文件不变。否则，Key 和 CRT/PEM 必须配套更换。

如有不确定，可以把你的 key 和 crt 文件用上面的方法校验一下。如果有报错或疑问，欢迎继续咨询！

换证书是否可以密钥不变，然后crt或者pem文件替换就行   https://cdnanqi.cn/wangluoyingxiao/16747.html