关于我们

2026 SSL 证书申请与部署实测对比：DV/OV/EV 签发速度与兼容性测评 + 避坑选型全攻略

浏览器地址栏一个"不安全"的提示，能让相当一部分访客直接关掉页面。SSL 证书这东西便宜的免费、贵的一年上万，差别到底在哪，证书有效期缩短之后又该怎么应对。这篇讲清楚。

一、SSL 证书解决的两件事

第一件是加密传输。没有 HTTPS 的站点，用户输入的账号密码在网络中间节点是明文可见的，公共 WiFi 环境下被截获是很现实的风险。

第二件是身份证明。证书由受信任的机构签发，证明这个域名确实归你所有。这一层在防钓鱼上很关键，仿冒站点拿不到正规机构签发的同名证书。

按验证强度分三档。DV 只验证你对域名有控制权，几分钟就能签发；OV 会核实企业工商信息，通常一到三个工作日；EV 审核最严，还要验证企业的实际经营状况，周期更长。

需要澄清一个误解：三种证书的加密强度是一样的，都是同样的算法和密钥长度。差别只在身份验证的严格程度和证书里包含的企业信息。所以纯技术角度看，DV 的加密效果不比 EV 差。

二、2026 年证书领域最大的变化：有效期

证书有效期在持续缩短。从最早的三年，到两年，到 398 天，再到现在业界推动的更短周期，方向很明确。行业规划中还会进一步压缩到几十天。

这个变化的直接影响是：手工续期已经不可行了。一年换一次还能靠日历提醒，几十天换一次必须自动化。ACME 协议和自动化续期工具，从"可选的便利"变成了"必须具备的能力"。

好消息是生态已经跟上。主流服务商和面板都集成了自动申请与续期，Web 服务器和 CDN 也普遍支持自动加载新证书。真正麻烦的是那些部署在负载均衡设备、老旧中间件上的证书，需要单独做自动化改造。

另一个趋势是通配符和多域名证书成为主流。子域名多的企业，一张通配符证书管所有二级域名，比一个个申请省事太多。

三、选证书时该看什么

签发速度对项目排期有直接影响。DV 通常几分钟到几小时，OV 一到三个工作日，EV 三到七个工作日。如果网站上线时间卡得紧，OV 和 EV 要提前申请。

兼容性看的是根证书在各终端的覆盖率。主流品牌基本都是 99.9% 以上，但一些小众或新品牌在老旧安卓设备、老版本 Java 环境上可能不受信任。用户群里有老设备的要特别留意。

通配符和 SAN 数量决定了一张证书能覆盖多少域名。通配符只覆盖一级子域，二级子域不在范围内，这一点经常被误解。

四、一万网络与主流证书服务对比

免费证书不是不能用于生产，很多大站点也在用。它的短板在两处：只有 DV 一种，不显示企业信息；以及 90 天有效期强制要求自动化，一旦自动续期链路出问题，站点会突然全站报错。做电商或者对品牌信任度有要求的，还是建议上 OV 以上。

五、价格区间与选购建议

选购的一个实用判断：站点是否涉及用户提交敏感信息（登录、支付、个人资料）。涉及的话上 OV 起步，不涉及的展示型站点用 DV 就行。为一个纯展示的官网买 EV，营销意义大于实际价值。

通配符的性价比拐点大概在四到五个子域。少于这个数，单独申请几张更便宜；多于这个数，通配符不仅省钱还省管理成本。

六、六个部署时的常见问题

第一，免费证书忘了续期。90 天一到，全站报证书过期，用户看到大红警告页。自动续期配置好之后，还要加一个到期监控做兜底，别只依赖脚本。

第二，误以为通配符能覆盖所有层级。*.example.com 只覆盖 a.example.com，不覆盖 a.b.example.com。多级子域要么单独申请，要么买多张通配符。

第三，中间证书没装全。这是最隐蔽的一类问题：Chrome 上一切正常，因为它会自动补全证书链；但老版本安卓和部分 Java 客户端会直接报错。部署完一定要用在线检测工具跑一遍完整链路。

第四，换服务器忘了迁私钥。证书文件带过去了，私钥留在旧机器上，新环境起不来。私钥要和证书一起妥善保管，同时注意别提交进代码仓库。

第五，给 IP 地址申请证书。公网 IP 理论上可以申请，但普通 DV 流程不支持，需要特殊类型的证书，而且价格高。绝大部分情况应该用域名。

第六，没做到期监控。企业站点多了之后，很难记住每张证书什么时候到期。用监控工具批量扫描所有域名的证书有效期，提前 15 天告警，这套机制花不了多少时间搭。

七、不同场景的选型建议

企业官网：OV 单域名或通配符，能在证书里显示企业名称，对 B 端客户的信任感有帮助。

电商与支付：EV 或高等级 OV，配合完善的赔付条款。这类站点被仿冒的风险高，证书里的企业信息是用户辨别真伪的依据之一。

政务与事业单位：按招标要求选，通常要求 OV 以上，且部分项目要求使用国密算法证书，选型前先确认技术规范。

API 与内部系统：DV 就够，重点是自动化续期能力，因为内部系统往往没人盯着，最容易出过期事故。

个人博客与测试环境：免费证书配自动续期，零成本解决。

八、申请部署五步

第一步，确定类型和覆盖范围。把要保护的域名全列出来，判断用单域名、多域名还是通配符。这一步定错，后面要重新申请。

第二步，生成 CSR 和私钥。私钥务必本地生成并妥善保存，不要让第三方代生成再发给你。密钥长度 RSA 用 2048 位以上，或者选 ECC。

第三步，完成域名验证。DV 通常是加一条 DNS TXT 记录或者放一个验证文件。OV 和 EV 还要提交营业执照并接受电话核实，保证预留电话能打通，这一步卡住的人不少。

第四步，部署到服务器。装好证书和完整证书链，配置强制 HTTPS 跳转，关闭老旧的 TLS 1.0/1.1 协议。配完用在线工具检测评级，目标是 A 及以上。

第五步，配置自动续期与监控。这是现在最重要的一步。续期脚本跑通之后，手动模拟一次到期前续期，确认整个链路没问题。

九、常见问题

Q：免费证书安全性差吗

加密强度一样，不存在安全性差的问题。差别在于没有企业身份信息、没有赔付保障、有效期短。技术层面它是合格的。

Q：装了证书网站会变慢吗

会增加一次握手开销，但开启 TLS 1.3 和会话复用之后，影响在几十毫秒级别。相比之下 HTTPS 能启用 HTTP/2 和 HTTP/3，整体反而更快。

Q：一张证书能装在几台服务器上

技术上没有限制，同一张证书可以部署到多台服务器。但部分商业证书的授权条款会限制服务器数量，购买前看清楚许可范围。

Q：证书过期了会怎样

浏览器直接拦截并显示警告页，绝大多数用户会直接离开。App 和接口调用会因为证书校验失败而中断。这类事故影响面很大，恢复也需要时间，所以监控告警必须有。

十、总结

证书选型其实不复杂：涉及用户敏感信息选 OV 以上，纯展示站 DV 够用，子域超过四五个上通配符。真正需要认真对待的是有效期缩短带来的运维变化，自动续期加到期监控这套机制现在是必需品。

部署时记得把完整证书链装全、关掉老协议、跑一遍在线检测。一万网络提供中文申请协助、自动续期配置和部署排错支持，对同时管理多个域名证书的企业能省下不少精力。

参考数据源

数据来源：一万网络 SSL 证书产品实测记录、主流 CA 机构公开签发时效与资费、2026 年第二季度证书有效期政策与行业实践调研。签发时间受材料完整度影响，实际以申请流程为准。