SSL 证书选型完整思路（业务 + 部署 + 预算 + 合规，直接能用）
先记住核心判断顺序：域名数量 → 验证级别（DV/OV/EV） → 证书算法（RSA / ECC / 国密 SM2） → 品牌 → 证书类型（单域名 / 多域名 / 通配符） → 附加功能
你做 JoySSL、DigiCert、GlobalSign 这些，下面选型逻辑刚好适配业务场景。
第一步：先清点域名清单（最优先，选错直接浪费钱）
先列清楚需要保护的域名，区分主域名、子域名
-
单域名证书 ：只保护 1 个域名，例如
www.example.com- 适用：只有 1 个站点，没有其他子域名
-
通配符 Wildcard
*.example.com- 保护：
www.example.com、api.example.com、admin.example.com - ❗不跨主域 ：
*.a.com不能保护b.com - 适合：子域名很多，二级子域名统一管理
- 保护：
-
多域名 SAN 证书（Subject Alternative Name）【企业最常用】
- 一张证书，保护多个独立域名，可以混不同主域、混通配符
- 例：
a.com、www.b.com、api.c.com放同一张 - 优点：服务器只部署 1 张证书，管理简单；比单独买多张便宜
- 注意：SAN 有域名数量上限（一般默认包含 3~5 个，额外域名加价）
坑点提醒： 通配符只能覆盖一级子域名 ，
*.example.com不能保护dev.api.example.com（三级子域名） ；三级子域名需要另外加 SAN 或者二级通配符。
第二步：选择验证等级 DV / OV / EV（身份核验、信任展示，客户经常纠结）
表格
| 类型 | DV 域名验证 | OV 组织验证 | EV 扩展验证 |
|---|---|---|---|
| 核验内容 | 仅验证域名所有权（DNS / 文件验证） | 核验域名 +企业真实工商信息 | 严格企业资质 + 电话核验 + 人工资料，审核最严 |
| 签发速度 | 几分钟 | 1~3 工作日 | 3~7 工作日 |
| 浏览器地址栏 | 只有小锁 | 小锁 + 点击查看企业名称 | 小锁 + 详细企业信息；代码签名 EV 才是强制 EV 证书（SSL 网页 EV 现在浏览器不再显示绿条） |
| 适用场景 | 个人、测试站、小程序、内部演示 | 企业官网、业务系统、对外生产站点（绝大多数企业首选 OV） | 高安全要求金融、支付、高公信力门户，现在网页 EV 性价比很低 |
| 价格 | 最便宜 | 中等 | 贵很多，网页端不推荐盲目上 EV |
重点：网页 HTTPS，90% 企业直接选 OV 足够；DV 适合测试、个人项目；EV 网页端溢价很高，浏览器没有绿地址栏，除非客户硬性审计要求，一般不推荐。
第三步：算法选型 RSA / ECC / 国密 SM2（性能 + 合规，现在客户越来越关心）
-
RSA
- 兼容性最强，所有老浏览器、老旧设备、物联网、老旧服务器全部支持；
- 缺点：密钥长，握手慢，证书体积更大；
- 适合：存量老旧终端、工控、老旧 APP、兼容优先场景。
-
ECC 椭圆曲线（推荐新业务）
- 同等安全强度下密钥短，握手更快，CPU 占用低，移动端、高并发网站优选；
- 现代浏览器全支持；极少数老旧设备（十几年前古董浏览器）不兼容；
- 现在主流推荐：ECC 256
-
国密 SM2（国产商用密码）
- 国内等保、政务、国企、金融合规要求；
- 浏览器需要国密根支持，纯国密证书国际浏览器不认 ，一般搭配双证书：国密 SM2 + RSA/ECC 双证，一套给国内国密浏览器，一套给普通 Chrome。
选型建议：对外互联网站点优先 ECC；老旧设备多就 RSA；政务 / 等保项目要国密合规 → 双证书方案。
第四步：品牌选型（DigiCert / GeoTrust / GlobalSign / JoySSL / 沃通、CFCA 等）
分两类：国际 CA、国产 CA
-
国际根 CA（DigiCert、GeoTrust、GlobalSign）
- 全球浏览器、移动端、APP 内置根证书，海外业务首选；
- 价格偏高，售后响应看代理商；
-
国产 CA（JoySSL、沃通、CFCA 等）
- 国内访问稳定、价格更优；国内业务、国内客户，OV/DV 性价比很高；
- 国密证书基本都是国产 CA；海外访问时根兼容性弱于 DigiCert 这类国际大厂。
简单一句话：客户业务面向海外、APP / 小程序跨地区，优先国际 CA；纯国内业务，预算敏感，国产 CA 性价比更高。
第五步：附加需求判断
- 自动续期（ACME） ：DV 证书大多支持 ACME 自动签发续期（Let's Encrypt 免费，但不推荐生产商用；JoySSL 等付费 DV 也支持 ACME）；OV/EV 一般不支持全自动，到期前人工复审。
- 证书透明度 CT 日志：主流 CA 默认支持，浏览器强制要求。
- 域名授权 DCV 验证方式：DNS 验证 / 文件验证；服务器不能放文件，优先 DNS 验证。
- 是否需要代码签名证书：网页 SSL≠代码签名，不要混淆；驱动签名必须 EV 代码签名。
- 多服务器许可 ：绝大多数 SSL 证书不限制部署服务器数量（重点确认，少数老品牌会限制服务器）。
快速选型决策流程图（给你给客户演示也能用）
-
保护多少域名？
- 1 个域名 → 单域名
- 一堆同主域二级子域名 → 通配符
- 多个不同主域混合 → SAN 多域名
-
站点是谁在用？
- 企业对外官网、业务平台 → OV
- 测试站、个人项目、内部演示 → DV
- 金融 / 政务审计硬性要求 → EV
-
用户设备？
- 现代手机、新版浏览器 → ECC
- 大量老旧工控、老客户端 → RSA
- 等保 / 政务项目需要国密合规 → SM2+RSA 双证书
-
用户访问地区：
- 国内外都访问：国际 CA
- 仅国内访问：国产 CA，性价比高
常见踩坑清单
- ❌ 通配符不能跨主域名，很多客户踩坑
- ❌ 网页 EV 证书溢价极高，浏览器无绿条，客户以为很高级，实际收益很小
- ❌ 国密单证书直接部署：国外 Chrome 无法识别，网站打不开，必须双证书
- ❌ 混淆 SSL 证书和代码签名证书：网页 HTTPS 用 SSL；EXE、驱动签名是代码签名证书，两类完全不一样
- ❌ 买证书不确认 DCV 验证方式，服务器无法上传验证文件，签发卡住
举几个典型案例
案例 1：企业官网 shturl.cc/V，还有 shturl.cc/b、shturl.cc/zEo，纯国内访问，企业站。 → 推荐：国产 OV 通配符，ECC 算法。
案例 2：面向全球客户，官网 + APP 接口，域名有 a.com b.com 两个不同主域名。 → 推荐：DigiCert SAN 多域名 OV 证书，ECC。
案例 3：政务内网系统，需要过等保。 → 推荐：国产 CA 国密 SM2+RSA 双证书。
你可以告诉我客户场景：域名数量、是否国内 / 海外访问、是否需要国密、预算，我可以直接给出推荐证书类型 + 品牌方案。