SSL 证书选型指南

场景一：个人项目、开发测试或非商业性网站

• 适用场景：个人博客、作品集展示、本地开发环境、CI/CD 测试流水线、教学演示等非商业、非生产用途。

• 核心需求：低成本、快速部署、无需高可用保障。

• 推荐证书类型：

  • 个人测试证书（免费版）：适用于对成本敏感的用户，服务有效期为 90 天，每个自然年最多可申请 20 张，到期后需手动重新申请。

  • 个人测试证书（pro）：适用于希望降低运维频率的用户，服务有效期为 1 年，价格较低，可减少续签操作。

  说明

  个人测试证书（免费版）和个人测试证书（pro）均为 DigiCert 品牌的 DV 单域名证书。

• 注意事项：

  • 两类证书均不提供SLA服务等级协议保障。严禁用于任何对可用性有要求的生产环境业务。

  • 两类证书的更多限制和特点可参见个人测试证书与正式证书对比。

场景二：中小型企业官网、电商、小程序等生产业务

• 适用场景：企业官方网站、中小型电商平台、微信小程序后端服务、SaaS 应用入口等面向公众的生产系统。

• 核心需求：稳定 HTTPS 加密、适度信任展示、高性价比。

• 推荐证书类型：DV 通配符证书 或 OV 单域名证书。

• 验证等级：DV 或 OV。

• 域名支持：通配符（*.aliyundoc.com）或单域名。

• 推荐品牌：国际品牌（Rapid、GeoTrust、DigiCert）、国产品牌（WoSign、vTrus）。

• 注意事项：

  • 若需保护多个子域名，优先选择通配符证书。

  • 若需在证书中展示企业信息以增强用户信任，应选择 OV 证书。

场景三：金融、政府、大型企业或高信任度业务

• 适用场景：网上银行、证券交易系统、政务服务平台、大型企业客户门户、支付网关等对安全与合规要求极高的关键业务系统。

• 核心需求：最高信任背书、行业合规性、品牌公信力。

• 推荐证书类型：EV 证书 或 OV 证书。

• 验证等级：EV / OV。

• 域名支持：单域名或多域名（依业务架构而定）。EV 证书不支持通配符域名（行业标准限制）；如需通配符证书，请选择 OV 类型。

• 推荐品牌：国际品牌（GeoTrust、GlobalSign、DigiCert）、国产品牌（CFCA、vTrus）。

• 注意事项：

  • 主流现代浏览器（如 Chrome、Edge、Safari 等）已取消地址栏直接显示企业名称（绿色地址栏）的功能，企业信息现移至证书详情面板中展示。

  • EV 证书仍具备最高等级的身份认证标准，具备完整的法律效力，是金融与政务系统防范钓鱼攻击、建立用户信任的首选。

• 行业案例：

  行业	案例	证书品牌	证书类型	加密算法	域名类型
  金融、银行	中国银行	DigiCert	EV	RSA	单域名
  教育、政府、互联网	阿里云、淘宝、天猫	GlobalSign	OV	RSA	通配符域名
  	新浪、今日头条	GeoTrust
  	上海黄金交易所	CFCA

场景四：特殊需求（国密合规或IP地址）

选型流程

根据实际的业务需求，按以下步骤逐步确定所需证书的核心参数：

1. 第一步：确定证书分类

   • 仅用于个人项目、开发测试、学习演示？ → 选择个人测试证书（免费版或 Pro 版）。

     说明

     个人测试证书（免费版或 Pro 版）仅支持 DV 验证等级和RSA 加密算法。

   • 用于生产环境、对外提供服务？ → 选择正式证书，进入第二步。

2. 第二步：确定验证等级

   • 仅需基础 HTTPS 加密，无需展示企业信息？ → 选择 DV（域名验证型）。

   • 希望在证书中展示企业身份以增强用户信任？ → 选择 OV（组织验证型）。

   • 属于金融、政务、支付等高合规要求场景？ → 选择 EV（扩展验证型）。

   说明

   EV 证书不支持通配符域名。

3. 第三步：确定域名类型

   • 仅保护单个域名（如 www.example.com）？ → 选择单域名证书。

   • 需保护同一主域下的所有子域名（如 *.example.com）？ → 选择通配符证书。

   • 需保护多个不同域名（如 a.com + b.com）？ → 选择多域名证书。

   • 需混合保护通配符和单域名？ → 选择混合域名证书。

   • 服务通过公网 IP 地址直接访问（无域名）？ → 需选择支持 IP 地址的证书（仅部分 OV 证书支持）。

4. 第四步：确定加密算法

   • 追求最广泛的兼容性（兼容老旧设备和浏览器）？ → 选择RSA 算法。

   • 追求更高性能和更强安全性（适合移动端、IoT 等）？ → 选择ECC 算法。

   • 业务有国密合规要求（政务、金融、国企等）？ → 选择SM2 算法（需配合国产品牌）。

   说明

   若无特殊要求，推荐选择 RSA 算法以获得最佳兼容性。

5. 第五步：确定证书品牌

   根据预算和偏好，参考价格信息，在证书品牌中进行最终选择。

证书分类（个人测试证书 / 正式证书）

数字证书管理服务（原 SSL 证书）提供两类证书：个人测试证书（原免费证书）和正式证书。其中，个人测试证书（原免费证书）包括：个人测试证书（免费版）和个人测试证书（pro）。

验证等级（DV / OV / EV）

SSL 证书按验证等级可分为：DV（域名验证型）、OV（组织验证型）、EV（扩展验证型）。不同验证等级在审核材料、签发时长、信任展示等方面存在差异。

域名类型（单域名 / 通配符 / 多域名）

SSL证书需与绑定的域名或IP地址配合使用方可生效。网站所绑定的域名类型及数量，直接决定所需申请的SSL证书类型和数量。阿里云支持申请以下类型的SSL证书：单域名、多域名、通配符域名（泛域名）以及混合域名证书。下表列出了各类域名的区别及相关证书说明。

加密算法（RSA / ECC / SM2）

证书品牌

在选择证书品牌时，需考虑品牌支持的验证等级、域名类型、加密算法以及价格等因素，并结合自身的业务需求和预算进行综合考量。

个人测试证书（免费版）到期了怎么办？

个人测试证书不支持自动续费。需在证书到期前，登录数字证书管理服务（原 SSL 证书）控制台手动重新申领一张新证书，并替换掉服务器上的旧证书。

我只有公网IP地址，没有域名，应该选择哪种证书？

请选择支持IP地址的 OV单域名证书。在购买时，选择 GlobalSign、DigiCert、GeoTrust、vTrus 或 CFCA 品牌的OV证书，并在申请时填写公网IP地址。

续费或重新签发了证书，需要重新部署吗？

需要。每次续费或重新签发后，将得到一张全新的证书。必须将新的证书文件下载并重新部署到Web服务器上，以替换旧证书。

通配符证书（例如 *.aliyundoc.com）包含主域名（aliyundoc.com）吗？

绑定通配符域名，自动赠送对应的主域名。如：绑定*.aliyundoc.com时赠送aliyundoc.com。

什么是国密（SM2）证书？什么时候需要选择国密证书？

SM2是中国国家密码管理局发布的商用密码算法。若当前业务（特别是政府、金融、国企等相关项目）有明确的“国密改造”或“等保合规”要求，请选择支持SM2算法的国产品牌证书。对于普通网站和出海业务，使用国际标准的RSA或ECC算法即可。