结论：SSL 证书怎么选，先定三件事
选 SSL 证书不用先纠结品牌，抓住三件事就能定下来：验证等级（DV、OV 还是 EV）、覆盖范围（单域名、多域名 SAN 还是通配符）、到期后的续期与监控方式。前两项决定场景适配，第三项决定它会不会在某天凌晨突然过期。
中小企业官网与独立站多选 DV 或 OV 的多域名证书，用一张证书覆盖主域、www 与品牌域；只有存在大量客户子域的系统才需要通配符。真正引发线上事故的，很少是买错了等级，而是证书链没装全、页面里残留 http:// 资源、或者到期没人管。
趣凡科技在深圳承接企业官网与系统建设时，通常把这三项写进同一份上线检查表，先对齐清单再采购证书，避免上线前才发现覆盖范围不够。
DV、OV、EV 三类证书的差异
三类证书的加密强度是一样的，差别在验证深度、证书里能写什么信息，以及采购方与浏览器对它的信任预期。
| 类型 | 验证内容 | 签发时效 | 证书主体信息 | 典型场景 |
|---|---|---|---|---|
| DV（域名验证） | 只验证域名控制权（DNS 记录或指定文件） | 通常分钟级自动签发 | 只显示域名 | 个人站、活动页、测试环境、内部接口 |
| OV（组织验证） | 额外核验企业主体，如营业执照与电话回访 | 一般 1 到 3 个工作日 | 含企业名称与所在地区 | 企业官网、B2B 外贸站 |
| EV（扩展验证） | 在组织验证基础上执行更严格的主体核验 | 数个工作日 | 含经核验的企业信息 | 金融、政务、招投标 |
一个常被忽略的变化在浏览器界面：早期 EV 证书会在地址栏显示绿色标识与企业名称，主流浏览器在 2019 年前后取消了这一视觉区分，现在统一只显示锁形图标。
另一个现实差异是签发时效。DV 可全自动签发与续期，适合用 ACME 协议（如 Let's Encrypt、ZeroSSL）批量管理；OV 与 EV 需人工审核，要预留材料时间。
覆盖范围：单域名、多域名 SAN 与通配符
同一验证等级下，证书还按覆盖范围分成几类。买错这一项的表现往往很具体：www 能打开，不带 www 却报证书错误。example.com 与 www.example.com 是两个名字，除非签发时都写进证书，否则只覆盖其中之一。
| 类型 | 覆盖范围 | 容易踩的点 |
|---|---|---|
| 单域名 | 一个确切域名，如 www.example.com | 主域与 www 通常算两个名字，需要同时签发或额外追加 |
| 多域名（SAN） | 一张证书包含多个域名，一般可扩展到数十个 | 域名清单要在签发前定稿，事后追加通常需要重签 |
| 通配符 | *.example.com 覆盖同一层级下的子域名 | 不覆盖主域本身，也不覆盖 a.b.example.com 这类多级子域 |
| 多域名通配符 | 多个通配符域的集合 | 适合多品牌、多地区站群，但维护复杂度最高 |
| IP 证书 | 直接给 IP 地址签发 | 仅少量场景需要，浏览器兼容性不如域名证书 |
多语言站与站群还有一个细节：如果一份证书要覆盖很多域名，建议把域名清单与 DNS 解析放在同一张表格里维护，定期比对证书覆盖的域名与实际解析的域名。
HTTPS 部署避坑：八个动作与常见故障对照
证书装完不等于 HTTPS 部署完成。下面八个动作按顺序做一遍，能把大多数「浏览器提示不安全」的问题挡在上线之前。
- 确认证书与域名匹配。核对证书域名列表是否包含实际使用的每一个名字：主域、www、接口子域与移动端域名。
- 一次安装完整证书链。服务器上要同时配置服务器证书与中间证书，顺序不能颠倒；只装服务器证书时，部分客户端会因找不到签发链而报错。
- 收敛协议与加密套件。至少启用 TLS 1.2，优先 TLS 1.3，关闭 SSLv3 与 TLS 1.0/1.1，禁用不安全的加密套件，兼容性确认后再启用 HSTS。
- 排查混合内容。把页面里的 http:// 图片、脚本、字体与接口调用逐条换成 https://，浏览器控制台会直接报 Mixed Content 警告。
- 把跳转做成单跳。80 端口整体 301 到 443，并统一 www 与非 www 的主域形态，避免「http 跳到 https 再跳到 www」的多跳链路。
- 同步 canonical 与站点地图。canonical、sitemap 与站内链接全部指向最终地址，避免搜索引擎同时收录 http 与 https 两个版本。
- 回归业务链路。支付回调、第三方接口、小程序与 APP 内嵌页面、邮件模板里的链接，都要在切换后实测一次。
- 保留回退方案。新证书验证通过前不要删除旧证书与私钥，配置变更保留一份可回滚的备份。
| 现象 | 常见原因 | 处理方向 |
|---|---|---|
| 浏览器提示证书不受信任 | 证书链不完整，或用了自签证书 | 补齐中间证书并确认信任链 |
| 只有部分设备报错 | 旧系统不支持当前的协议版本或加密套件 | 按访问日志的客户端分布决定兼容下限 |
| 页面能打开但锁形图标有警告 | 页面里混用了 http 资源 | 逐项替换为 https 地址，第三方资源先确认加密支持 |
| 跳转后地址栏被改写 | www 与非 www 同时可访问 | 选定一个主域并做单跳 301 |
| 突然全站告警 | 证书到期，或自动续期静默失败 | 提前 30 天续期，监控链路加告警 |
证书链不完整在桌面浏览器上往往看不出异常，却在移动端与部分编程语言的默认请求库里直接失败。
自动续期与到期监控：把过期风险前移
证书过期是最容易避免、也最容易发生的事故，原因通常是证书不由技术团队采购、自动续期脚本静默失败、内网证书没人负责。行业标准也在收紧节奏：按 CA/Browser Forum 的规范调整，公开信任的服务器证书最长有效期已从 398 天逐步压缩，2026 年起上限收紧到 200 天（具体时间表以各 CA 与浏览器论坛公示为准）。有效期越短，自动化越重要。
可行的做法分三层：能用 ACME 协议自动签发的场景，直接开启自动续期；商用证书在控制台打开到期提醒，同时在监控里加一条「剩余有效期不足 30 天」的告警；把所有证书登记到一张清单，写明域名、类型、签发机构、到期日与责任人，每季度核对一次。监控本身很简单，用 openssl 读取证书的 notAfter 字段做定时任务即可，关键是有人接收告警并处理。
按场景选型：一张对照表就够了
| 场景 | 建议类型 | 注意点 |
|---|---|---|
| 个人站、活动页 | DV 单域名 | 走自动签发与续期，省下人力 |
| 企业官网、外贸站 | OV 多域名 SAN | 一次覆盖主域、www 与品牌域 |
| 存在大量客户子域的系统 | OV 通配符 | 通配符不含主域，需要另加一个域名 |
| 小程序与 APP 的接口域名 | DV 或多域名证书 | 平台通常要求可信证书与较新的协议版本 |
| 内网系统与运维入口 | 内部 CA 或 DV | 客户端需预置根证书，同样要登记到期时间 |
| 金融、政务、招投标 | OV 或 EV | 按采购文件要求执行，提前预留审核周期 |
证书只是 HTTPS 的一层。要让站点长期稳定，还需要把域名解析、服务器环境与后续改版一起纳入规划。趣凡科技在深圳承接企业官网建设与改版时，通常会把证书、跳转、canonical 与站点地图放进同一份上线检查表，相关做法可以参考 企业官网改版：老站迁移不掉权重的 6 个技术动作 与 GEO 优化实战：让 AI 搜索主动推荐你的品牌；服务范围见 集团/品牌建站、软件开发 与 AI 软硬件解决方案。
如果涉及多系统集成或设备端接入，建议把证书清单与服务器资产清单放在一起维护，交给同一个责任人跟进。
常见问题
免费 SSL 证书和付费证书差别在哪？
加密强度没有区别，差别在验证等级、有效期与管理方式。免费证书多为 DV，有效期短，适合搭配自动续期使用；付费的 OV 与 EV 证书经人工核验企业主体，证书内包含企业信息，适合需要对外展示主体资质的官网与采购场景。
访问量很小的站，不装证书可以吗？
主流浏览器会把 http 页面标记为「不安全」，表单输入与登录行为会受到明显影响，搜索引擎与 AI 引擎也更倾向于收录 https 页面。再加上现代浏览器的许多接口只在安全上下文中开放，长期看 http 已不具备可用性。
HTTPS 会不会拖慢网站速度？
握手确实有额外开销，但 TLS 1.3 配合 HTTP/2、HTTP/3 通常让整体访问体验更好。真正拖慢页面的往往是图片体积、脚本数量与跳转链路，多跳 301 与未开启会话复用带来的重复握手更值得优先优化。
证书到期前多久处理比较稳妥？
建议至少提前 30 天。OV 与 EV 需要准备材料并等待审核；即便是自动续期的场景也应保留告警，因为脚本可能因 DNS 权限变更、网络策略调整或接口限流而静默失败。