一、续期压力：自动化不是免维护，是持续的运维负债
主流免费 DV 证书（以 Let's Encrypt 为代表）固定 90 天有效期，一年至少 4 次续期；行业长期趋势还在持续缩短有效期，进一步拉高续期频次。很多人以为装上 Certbot、acme.sh 自动续期脚本就一劳永逸，这是最普遍的误区：自动续期只是降低人工操作门槛，并没有消除故障风险。
自动续期依赖一套完整环境：ACME 客户端定时任务正常运行、80/443 端口或 DNS 验证通道通畅、服务器没有防火墙策略变更、DNS 服务商 API 密钥有效、容器 / 云服务器重启后定时任务不会丢失。任何一环失效，续期就会静默失败，没有明显告警，直到证书到期、浏览器弹出红色不安全警告，运维才会发现问题。
这类故障非常典型：
- 服务器迁移、重装系统、容器重建，旧的续期脚本和定时任务直接丢失；
- DNS 服务商接口升级、密钥轮换、权限收紧，DNS 验证方式失效；
- 云主机安全组、WAF 新增拦截规则，阻断 ACME 验证请求；
- 运维人员交接，没人接管证书监控，告警渠道失效。
隐性成本在这里体现为持续的人力投入：你需要持续监控证书生命周期、搭建过期告警、定期演练续期流程、排查验证失败问题。对小团队而言，证书运维变成长期固定的运维负债；一旦故障爆发，紧急抢修、业务停服、客户投诉，都是直接的经济成本。
对比付费 OV 证书，有效期更长，同时厂商一般配套证书监控、人工告警、技术支持通道，故障定位和恢复速度远高于纯自主维护的免费证书。
二、稳定性风险：无 SLA、速率限制、批量吊销的不可控性
免费 CA 的定位是公益普惠，不向使用者承诺服务等级协议 SLA，不保障签发成功率、服务可用性，所有服务风险由使用者自行承担Let's Encr...。这个特性在个人博客、测试站点感知不强，但放到生产业务中，就是随时可能引爆的隐患。
第一个风险是签发配额与速率限制。Let's Encrypt 有严格的频率上限，账户、域名维度都有签发限额，批量新增子域名、批量重签证书时，很容易触发限流，短时间内无法申请新证书。在证书被意外吊销、服务器故障需要紧急重签的场景下，限流等于业务抢修通道被锁死，只能等待配额恢复Let's Encr...。
第二个风险是无预警批量吊销。免费证书签发门槛低，仅做域名所有权验证，一旦同账户、同 IP 下有域名被判定为钓鱼、恶意站点，CA 风控机制可能连带吊销同账户下的证书；同时 CA 合规策略调整、根链变更，也会出现批量吊销事件。免费证书没有专属技术对接通道，出问题只能在社区查文档、排队提问，没有工单优先处理机制，恢复周期不可控。
第三个是兼容性隐患。部分老旧终端、嵌入式设备、工控系统、低版本安卓浏览器，对免费 CA 根链支持度差，会出现 SSL 握手失败、接口请求报错。付费商业 CA 的根证书预置覆盖面更广，面向政企、IoT、ToB 接口场景，兼容性风险显著更低。
很多人混淆一个概念：加密算法本身的加密强度，免费 DV 和付费证书可以一致；稳定性差异，来自 CA 的服务保障、风控策略、根证书信任链路，不是加密套件。
三、商业信任与合规风险：只能证明域名，不能证明企业
免费证书全部是 DV 域名验证证书，它只核验一件事：当前操作方拥有这个域名的控制权。它不会核验营业执照、企业存续信息、经营主体真实性。这一点直接决定了它的商业信任边界：小锁不等于可信商家。
从用户视角，普通访客很难区分 DV、OV 证书。黑客可以注册近似仿冒域名，同样申请免费 DV 证书，拿到一模一样的 HTTPS 小锁，搭建钓鱼网站。当你的电商、会员、支付业务使用免费 DV 证书时，一旦出现仿冒钓鱼案件，平台风控、监管溯源时，DV 证书无法作为企业真实身份的佐证，品牌信任受损的代价很高。而 OV 证书会人工核验企业资质，证书详情页展示企业名称，天然增加钓鱼门槛，适合面向交易、资金、敏感信息收集的商业站点。
合规层面也是高频踩坑点。等保、部分行业监管、甲方供应商安全审计，很多场景明确要求提供组织核验级别的证书，单纯 DV 免费证书无法满足审计要求。一旦项目验收、安全测评卡在这里，临时更换证书、重新走业务适配，工期成本不可忽视。
另外一个容易忽略的风险是赔付兜底。主流商业 OV/EV 证书，附带 CA 提供的责任赔付保障；免费证书的用户协议里普遍免除一切赔偿责任。如果因为 CA 侧证书故障、信任链问题导致业务停摆、订单流失、品牌损失，所有后果企业自行承担，没有任何赔付渠道兜底。
四、适用边界厘清：哪些场景适合免费证书，哪些坚决不建议
免费证书不是 "垃圾"，它有明确的合理场景，核心原则：无交易、无核心用户数据、故障损失很低的站点，可以使用免费 DV 证书。 ✅ 适合：个人博客、技术文档站、内部测试环境、纯展示静态小站点，业务中断影响很小。
❌ 不建议：电商交易、会员登录、支付相关、企业官网（获客转化）、对外开放 API 接口、面向政企客户的业务、有等保合规要求的系统。这类业务，证书故障的隐性损失，远高于证书采购成本。
五、如果已经在用免费证书，一套最低成本加固方案
如果业务现阶段选择免费 DV 证书，必须补齐防护，降低隐性风险：
- 多渠道告警：证书到期前 30 天、15 天、7 天、3 天多轮短信 + 邮件告警，不要只依赖服务器内脚本日志；
- 双验证冗余：优先 DNS 验证，避免 80 端口被 CDN、WAF 占用导致验证失败；
- 独立账户隔离：生产、测试域名分开 ACME 账户，防止测试域违规连带吊销生产证书；
- 证书备份与备用方案：提前准备备用付费证书，遇到限流、批量吊销时，可以快速切换，作为故障兜底；
- 定期演练：每季度手动模拟一次证书过期、吊销场景，验证切换流程是否可行；
- 区分业务：核心交易链路独立使用 OV 付费证书，静态资讯、博客类子站再使用免费证书。