SSL 证书 FAQ 知识库

三者的加密强度完全相同（都是 256 位），区别在于身份验证的严格程度与由此带来的信任等级：

• DV（域名验证）：仅验证域名所有权，几分钟签发，价格最低，适合个人博客、内部测试、纯展示型站点。
• OV（组织验证）：在 DV 基础上人工核验企业营业执照与主体信息，证书内显示企业名称，适合企业官网、电商平台。
• EV（扩展验证）：最严格的审核流程，需核验法人资料、企业实际经营地址等，信任等级最高，适合金融机构、政务平台与大型企业。

简单判断：网站涉及交易或用户数据，建议至少选 OV；金融、政务或对品牌信誉要求极高的场景，选择 EV。

并不是。证书按"可保护域名数量"可分为四类：

• 单域名证书：只保护 1 个完整域名（如 www.example.com），example.com 通常视为不同域名。
• 通配符证书：保护 *.example.com，即该主域名下所有一级子域名，且新增子域名无需重新购买。
• 多域名证书（SAN）：一张证书可保护 3~250 个完全不同的域名，适合多品牌、多站点运营。
• 多域名通配符：同时支持多个主域名及其全部子域名，适合集团型客户。

加密强度没有区别，区别在服务与保障：

• 免费证书有效期仅 90 天，必须配置自动续期，一旦续期失败站点立即被拦截。
• 免费证书不提供 OV/EV 身份验证，无法展示企业名称。
• 免费证书无安全赔付、无人工支持、无 SLA 保障。
• 付费商业证书提供 1 年有效期、专属顾问、免费重签、安全赔付与远程安装服务。

建议：个人试验用免费证书没问题；正式业务一律建议付费证书。

不是。所有正规 CA 签发的证书加密强度完全一致，浏览器显示的安全锁也一样。价格差异来自：①验证深度（DV 最便宜，EV 最贵）；②品牌溢价（DigiCert 公信力最高）；③附加服务（安全赔付、恶意软件扫描、保险等）；④产品类型（通配符、多域名单价更高但摊薄后更划算）。按需选择即可，不必盲目追贵。

签发完成后可在会员中心下载证书压缩包，通常包含：

• 证书文件（.pem / .crt）：站点证书 + 中间证书链，Nginx/Apache 使用。
• 私钥文件（.key）：生成 CSR 时配套的私钥（在线生成的 CSR 私钥在生成页面一次性展示）。
• PFX 格式（.pfx）：证书+私钥打包，供 IIS/Windows 使用。
• 说明文档：各平台部署指引链接。

部署遇到问题可随时申请免费远程安装协助。

不会，反而通常更快。TLS 握手开销在现代硬件与 TLS 1.3 下已降至毫秒级，而 HTTPS 是启用 HTTP/2、HTTP/3 与 Brotli 压缩的前提，这些协议带来的多路复用收益远大于握手成本。实测中开启后页面加载通常有 10%~40% 提升。还可以通过 OCSP Stapling、会话复用进一步优化。

我们提供了全平台图文教程：IIS 需导入 .pfx 后绑定 443；宝塔在站点 SSL 选项卡粘贴证书与密钥一键开启；云负载均衡（阿里云 SLB/腾讯云 CLB）在控制台监听器中上传证书即可。详见安装部署指南，或直接申请免费远程协助。

最常见三个原因：①证书链不完整——只上传了站点证书没上传中间证书；②混合内容——HTTPS 页面里还引用了 http:// 的图片/脚本，浏览器控制台会具体标出；③域名不匹配——证书签发的域名和访问的域名对不上。逐项排查即可，详见安装指南中的"部署后验证清单"。

可以。退款政策分三种情况：

• 证书尚未签发：支持无理由全额退款，1-3 个工作日原路退回。
• 已签发但未部署使用：可申请退款，扣除 CA 机构已产生的核验与签发手续费（通常 10%~30%）。
• 已部署使用：因 CA 已核销额度不支持退款，但可在有效期内免费重新签发（换域名、换服务器场景）。

申请路径：会员中心 → 订单管理 → 申请退款，或联系在线客服处理。

支持。可开具增值税普通发票与增值税专用发票（税率 6%）。下单时填写开票信息，付款后 1-3 个工作日内开具并发送至预留邮箱，也可在会员中心自助下载。专票需要提供：公司全称、税号、注册地址电话、开户行及账号。

立即执行：①联系客服申请吊销（Revoke）该证书，CA 会在数小时内将其加入吊销列表，浏览器随即不再信任；②在新环境重新生成密钥对并申请新证书（免费重签）；③排查泄露途径（服务器入侵、代码仓库泄露、聊天工具明文传输等）并修复。吊销是免费的，不要因为担心麻烦而让泄露的私钥继续暴露。

极小概率事件，但我们有兜底方案：①所有证书均可免费换签至其他合作品牌，业务不中断；②我们与 5 家 CA 同时合作，单一家族风险已通过多品牌策略对冲；③多年期未使用的部分按比例退款。历史上主流 CA 稳定运营数十年，此风险实际极低。

不同等级所需材料不同：

• DV 证书：只需域名管理权限（DNS 解析添加 TXT 记录或上传验证文件）。
• OV 证书：企业营业执照、企业名称与地址、经办人联系方式（需可接收核验电话或邮件）。
• EV 证书：在 OV 材料基础上，额外需要法人身份信息、企业实际经营地址证明，部分 CA 会电话回访核实。

所有材料仅用于 CA 机构身份核验，我们会严格保密。

DNS 验证是最推荐的方式：①下单后系统生成一条唯一的 TXT 记录值；②登录你的域名解析平台（阿里云/腾讯云/Cloudflare 等）；③按提示添加一条 TXT 记录（主机记录如 _dnsauth，记录值为系统给的字符串）；④等待解析生效（通常 1-10 分钟）；⑤系统自动检测到记录后即完成验证。整个过程不改动 A 记录，不影响网站访问。

可以。OV 证书验证的是网站运营主体的真实性，域名注册人与企业主体不一致是常见情况（如代建站、集团统一注册域名）。验证时只需确保所用域名由申请企业实际运营，必要时提供授权书或合同等辅助材料即可，顾问会协助准备说明文件。

常见驳回原因：①营业执照照片模糊或过期；②填写的企业信息与工商登记不一致；③核验电话无法接通；④域名验证记录未生效。驳回后不产生任何额外费用，我们会协助你修正资料并免费重新提交。若最终确实无法完成合规签发（如企业主体存在严重问题），支持全额退款。

CSR（Certificate Signing Request，证书签名请求）是包含你服务器公钥与域名信息的文件，是签发证书的必要输入。生成方式：

• 在线生成：使用我们的CSR 生成工具，填入域名与企业信息即可。
• 服务器生成（推荐，私钥不出服务器）：openssl req -new -newkey rsa:2048 -nodes -keyout example.key -out example.csr -subj "/CN=www.example.com"
• 宝塔面板：站点设置 → SSL → 自行生成 CSR。

注意：私钥（.key）必须妥善保管，不要把私钥发给任何人（包括我们），只需提交 CSR 文件。

目前单张证书有效期最长 1 年（行业规范持续收紧，未来可能更短）。我们提供60/30/15/7 天四级到期提醒（短信+邮件+企业微信），多年期购买用户由我们自动重新签发并推送新证书，无需手动操作。也建议自行在日历上设置提醒作为双保险。

不需要。OV/EV 证书的企业资料在我们与 CA 侧均有留存，续期时无需重复提交（除非企业名称、地址等发生工商变更，需同步更新）。DV 续期仅需重新完成一次域名验证（若 TXT 记录保留着则自动通过）。

可以。证书+私钥文件拷贝到新服务器按原样配置即可，无需重新签发。注意：①私钥文件传输请用加密通道（scp/sftp），不要走聊天工具明文传输；②新服务器域名解析切换时注意 TTL 缓存；③迁移完成后用检测工具验证新服务器证书链完整性。