企业网站 HTTPS 证书怎么选？三种类型与到期管理清单

先给结论：展示型官网选 DV 证书即可满足加密需求，涉及登录、支付、会员数据的站点建议 OV 及以上；证书真正的风险不在加密强度，而在到期无人续期。

三类证书怎么选

结论：先按「站点是否处理敏感数据」分档，再决定验证等级。

• DV（域名验证）：只验证域名归属，签发快，一般几分钟到几十分钟，适合企业官网与资讯站。
• OV（组织验证）：验证企业主体，证书中带单位名称，适合有登录、表单提交敏感信息的站点。
• EV（扩展验证）：核验更严格，适合支付、金融、政务相关场景；具体展示形态以各浏览器当前实现为准。

提示：加密强度主要由协议与加密套件配置决定，与证书等级不是同一件事；等级影响的是身份核验深度。

免费证书与付费证书的差别

结论：差别主要在有效期、保障与运维服务，而不是加密强度。

1. 有效期：免费证书一般有效期较短，常见为 90 天，需要更频繁续期；具体以签发机构官方最新公告为准。
2. 自动化：免费证书通常配合自动续期脚本，脚本本身也必须被监控。
3. 服务：付费证书一般附带技术支持与保障条款。

据我们项目经验，中小企业站点出问题的原因，多数是续期任务失败且无人察觉，而不是证书类型选错。

部署时必须核对的 5 项

结论：装上证书不等于配置正确，以下 5 项建议逐项核对。

1. 全站跳转：HTTP 全站 301 跳转到 HTTPS，避免同时存在两套地址。
2. 混合内容：页面内不得引用 http:// 的图片、脚本与样式，否则浏览器仍会提示不安全。
3. HSTS：确认业务可接受后启用，启用前评估回退成本。
4. 证书链：中间证书缺失会导致部分客户端不信任，可用在线检测工具核验。
5. 域名覆盖：证书要覆盖主域名、www 及用到的子域，避免遗漏。

到期管理的 5 条清单

结论：把证书有效期当成一项需要被监控的运维指标。

• 建立台账：域名、签发机构、证书类型、到期日、负责人。
• 双重提醒：提前 30 天与 7 天各提醒一次。
• 自动续期：使用 ACME 类工具自动申请与部署，并保留失败告警。
• 监控告警：对站点做 HTTPS 可用性探测，异常即通知到人。
• 交接文档：服务商变更时，把证书来源与续期方式写进交付文档。

常见故障的排查顺序

结论：浏览器告警时，按「到期 → 域名不匹配 → 证书链 → 系统时间」的顺序排查，一般几分钟内可定位。

1. 看告警详情，确认是过期还是域名不匹配。
2. 检查证书绑定的域名是否覆盖当前访问地址。
3. 检查中间证书是否完整、链是否正确。
4. 检查服务器时间是否正常，时间偏差会导致证书被判定未生效或已过期。

玉晗网络（安徽安庆）在服务器运维托管服务中，会把证书台账与到期提醒纳入日常巡检，配合每周备份与安全补丁更新一并执行。如果你手上站点较多、又没有专人盯续期，先把台账建起来，是投入很小但收益明显的一步。