数字证书管理服务：SSL 证书选型指南

场景一：个人项目、开发测试或非商业性网站

• 适用场景：个人博客、作品集展示、本地开发环境、CI/CD 测试流水线、教学演示等非商业、非生产用途。

• 核心需求：低成本、快速部署、无需高可用保障。

• 推荐证书类型：DV 单域名或通配符证书。

• 推荐品牌：Alibaba Cloud。

场景二：中小型企业官网、电商、小程序等生产业务

• 适用场景：企业官方网站、中小型电商平台、微信小程序后端服务、SaaS 应用入口等面向公众的生产系统。

• 核心需求：稳定 HTTPS 加密、适度信任展示、高性价比。

• 推荐证书类型：DV 通配符证书 或 OV 单域名证书。

• 验证等级：DV 或 OV。

• 域名支持：通配符（*.aliyundoc.com）或单域名。

• 推荐品牌：Rapid、GeoTrust、DigiCert。

• 注意事项：

  • 若需保护多个子域名，优先选择通配符证书。

  • 若需在证书中展示企业信息以增强用户信任，应选择 OV 证书。

场景三：金融、政府、大型企业或高信任度业务

• 适用场景：网上银行、证券交易系统、政务服务平台、大型企业客户门户、支付网关等对安全与合规要求极高的关键业务系统。

• 核心需求：最高信任背书、行业合规性、品牌公信力。

• 推荐证书类型：EV 证书 或 OV 证书。

• 验证等级：EV / OV。

• 域名支持：单域名或多域名（依业务架构而定）。EV 证书不支持通配符域名（行业标准限制）；如需通配符证书，请选择 OV 类型。

• 推荐品牌：GeoTrust、GlobalSign、DigiCert。

• 注意事项：

  • 主流现代浏览器（如 Chrome、Edge、Safari 等）已取消地址栏直接显示企业名称（绿色地址栏）的功能，企业信息现移至证书详情面板中展示。

  • EV 证书仍具备最高等级的身份认证标准，具备完整的法律效力，是金融与政务系统防范钓鱼攻击、建立用户信任的首选。

场景四：服务通过公网 IP 地址访问（无域名）

• 适用场景：直接通过公网 IPv4 地址提供服务的设备或系统（如 IoT 网关、边缘服务器、遗留系统），且无法配置域名。

• 推荐证书类型：OV 单域名证书（支持 IP）。

• 验证等级：OV。

• 域名支持：公网 IPv4 地址（仅限特定品牌）。

• 推荐品牌：GlobalSign、DigiCert、GeoTrust。

• 注意事项：仅GlobalSign、DigiCert、GeoTrust品牌的OV单域名类型证书支持绑定IP。

选型流程

根据实际的业务需求，按以下步骤逐步确定所需证书的核心参数：

• 第一步：确定验证等级

  • 仅需基础 HTTPS 加密，无需展示企业信息？ → 选择 DV（域名验证型）。

  • 希望在证书中展示企业身份以增强用户信任？ → 选择 OV（组织验证型）。

  • 属于金融、政务、支付等高合规要求场景？ → 选择 EV（扩展验证型）。

• 第二步：确定域名类型

  • 仅保护单个域名（如 www.example.com）？ → 选择单域名证书。

  • 需保护同一主域下的所有子域名（如 *.example.com）？ → 选择通配符证书。

  • 需保护多个不同域名（如 a.com + b.com）？ → 选择多域名证书。

  • 需混合保护通配符和单域名？ → 选择混合域名证书。

  • 服务通过公网 IP 地址直接访问（无域名）？ → 需选择支持 IP 地址的证书（仅部分 OV 证书支持）。

• 第三步：确定加密算法

  • 追求最广泛的兼容性（兼容老旧设备和浏览器）？ → 选择RSA 算法。

  • 追求更高性能和更强安全性（适合移动端、IoT 等）？ → 选择ECC 算法。

• 第四步：确定证书品牌

  根据预算和偏好，参考价格信息，在证书品牌中进行最终选择。

验证等级（DV / OV / EV）

SSL 证书按验证等级可分为：DV（域名验证型）、OV（组织验证型）、EV（扩展验证型）。不同验证等级在审核材料、签发时长、信任展示等方面存在差异。

域名类型（单域名 / 通配符 / 多域名）

SSL证书需与绑定的域名或IP地址配合使用方可生效。网站所绑定的域名类型及数量，直接决定所需申请的SSL证书类型和数量。阿里云支持申请以下类型的SSL证书：单域名、多域名、通配符域名（泛域名）以及混合域名证书。下表列出了各类域名的区别及相关证书说明。

加密算法（RSA / ECC）

证书品牌

在选择证书品牌时，需考虑品牌支持的验证等级、域名类型、加密算法以及价格等因素，并结合自身的业务需求和预算进行综合考量。

我只有公网IP地址，没有域名，应该选择哪种证书？

请选择支持IP地址的 OV单域名证书。在购买时，选择 GlobalSign、DigiCert、GeoTrust品牌的OV证书，并在申请时填写公网IP地址。

续费或重新签发了证书，需要重新部署吗？

需要。每次续费或重新签发后，将得到一张全新的证书。必须将新的证书文件下载并重新部署到Web服务器上，以替换旧证书。

通配符证书（例如 *.aliyundoc.com）包含主域名（aliyundoc.com）吗？

绑定通配符域名，自动赠送对应的主域名。如：绑定*.aliyundoc.com时赠送aliyundoc.com。