国产商用密码（简称"国密"）正在从金融行业的小众合规要求，演变为政企信息化的基础设施标配。本文梳理政策脉络、技术要点与迁移路线。
政策背景：密码法与等保 2.0
《中华人民共和国密码法》（2020 年施行）将商用密码纳入法治化管理轨道；配套的《商用密码管理条例》与 GB/T 39786《信息安全技术 信息系统密码应用基本要求》构成了具体依据。实践中，等保 2.0 三级及以上系统在测评时必须验证密码应用的合规性，包括：
- 通信传输采用密码技术保证保密性与完整性；
- 使用的密码算法、协议符合国家商用密码管理要求；
- 密钥管理全生命周期合规。
HTTPS 场景下，这意味着Web 系统需要部署基于 SM2/SM3/SM4 的国密 SSL 证书，通过具备资质的 CA 机构（如 CFCA、国产电子认证服务机构）签发。
国密算法体系简介
| 算法 | 对标国际算法 | 在 HTTPS 中的角色 |
|---|---|---|
| SM2 | RSA / ECC | 非对称加密与签名，用于身份认证与密钥交换 |
| SM3 | SHA-256 | 杂凑算法，用于签名摘要与完整性校验 |
| SM4 | AES | 对称加密，用于会话数据加密 |
哪些系统必须使用国密证书
- 等保三级及以上的政企系统：测评硬性要求，无国密则该项失分甚至不通过；
- 政务信息化与国资项目：招标文件普遍要求国密支持，部分明确指定国家级 CA；
- 金融行业系统：人民银行体系内系统长期要求国密，支付、银行、证券均在列；
- 关键信息基础设施：能源、交通、水利等行业按 CII 保护要求逐步推进。
注意： 商业网站（普通企业官网、电商）没有强制国密要求，使用国际算法证书即可。是否上国密取决于合规身份而非"更安全"的错觉——两种算法在密码学强度上都是安全的。
双证书并行部署实践
国密证书的挑战在于国际浏览器不认 SM2。主流解法是双证书并行：
- 服务器侧：使用支持国密的 TLS 实现（铜锁 Tongsuo、Tengine 国密版、国密网关）；
- 同一 server 块挂载两张证书：SM2 证书 + RSA/ECC 证书；
- 握手自适应：支持国密的客户端（360、奇安信浏览器、国产密码中间件）协商走 SM2，其他客户端自动回落 RSA；
- 运维侧：两张证书的续期、监控统一管理，避免到期日错位。
迁移路线图建议
- 摸底（1-2 周）：盘点在等保范围内的系统清单与当前证书配置；
- 选型（1 周）：确定 CA 品牌（CFCA/TrustAsia 等）与双证书架构；
- 试点（2-4 周）：选一个非核心系统完成国密改造与自适应验证；
- 推广（按批次）：按业务优先级分批改造，核心交易系统放最后并预留回滚方案；
- 陪测：保留测评整改证据（证书、配置、密管记录），配合测评机构现场核查。
我们已协助 2400+ 家金融与政企机构完成国密改造，提供从选型、双证书部署到测评陪跑的全流程服务。查看金融政务方案 →