一、先按验证等级选：DV、OV、EV 差在哪

很多人搜「SSL证书怎么选类型」，第一反应是比价格，其实第一步应该比验证等级。等级决定了签发速度、资料成本和浏览器对你身份的呈现方式。

DV 域名验证型证书

CA 只验证你对该域名的控制权，通常通过 DNS 解析记录或邮箱验证完成，几分钟到几小时即可签发。浏览器地址栏同样显示锁标，加密强度与 OV、EV 完全一致。个人博客、测试环境、纯展示站、内部工具站用 DV 完全不掉价。

OV 与 EV：需要提交企业资质

OV 证书要核验企业工商信息，签发一般需要 1 到 3 个工作日，用户点开证书详情能看到公司名称。EV 审核更严，虽然主流浏览器已取消绿色地址栏，但在金融、政务、招标场景中仍常被写进合规要求。

判断标准很简单：网站是否需要用户提交身份证、银行卡、合同等敏感信息，或者甲方合同里明确要求企业级证书。是，则选 OV 起步；否，DV 足够。

二、再按域名覆盖范围选：单域名、多域名还是通配符

这是最容易买错、也最容易多花钱的一步。先把手头所有需要 HTTPS 的域名和子域名列全，再对照下面四种形态：

• 单域名证书：只保护一个完整域名，价格最低，适合只有一个站点的用户。
• 多域名证书（SAN/UCC）：一张证书可挂多个完全不同的域名，很多 CA 支持后期追加，跨主域名场景更划算。
• 通配符证书：保护 *.example.com 下的所有同级子域名，子域名数量多、还在不断增加时最省心。
• 多域名通配符：既跨主域名又覆盖子域名，适合集团站群，单价高但管理成本最低。

两个常见坑：通配符只覆盖同一级，*.example.com 不包含 a.b.example.com；多数通配符证书默认不含裸域 example.com，购买前要确认能否免费加 SAN。

成本算法：同一主域名下有 10 个子域名，通配符通常比买 10 张单域名便宜且续签只做一次；如果域名分散在 5 个不同主域名下，多域名证书往往更省。

三、加密算法与兼容性别忽略

RSA 还是 ECC

ECC 证书密钥更短、TLS 握手更快，在移动端和高并发场景下能明显降低服务器 CPU 开销；代价是对 Android 7 以下、部分老旧 Windows 设备兼容性偏弱。稳妥做法是选支持双算法、或可同时部署 RSA 与 ECC 双证书的 CA，由服务器按客户端能力协商。

有效期正在持续缩短

CA/Browser Forum 已通过 SC-081 提案，证书最长有效期将从 398 天逐步压缩：2026 年 3 月起为 200 天，2027 年 3 月起为 100 天，2029 年 3 月起仅 47 天。手动续签将越来越不现实，选型时必须看 CA 是否支持 ACME 协议自动签发与自动续期。

把「能否自动续签」列为硬指标，比纠结品牌 Logo 更实用，证书过期导致的访问中断远比价格差异昂贵。

四、三分钟决策清单

1. 列出全部需要 HTTPS 的域名与子域名，标注是否跨主域名。
2. 判断是否需要在证书中展示企业身份，决定 DV 还是 OV。
3. 按子域名数量与增长预期，在单域名、多域名、通配符中选一种。
4. 确认 CA 支持自动续签、免费重签和多算法部署。
5. 先买一张最短周期试签发，验证部署链路顺畅后再批量下单。

按这四步走下来，SSL证书怎么选类型这个问题基本不会有悬念：够用、可自动续、能覆盖未来半年的域名规划，就是最合适的那一张。

相关推荐

• 逸维云