通配符SSL证书是一种可保护主域名及其所有一级子域名的单张证书，例如 *.example.com 可同时覆盖 mail.example.com、shop.example.com 和 api.example.com。它不是万能方案——无法保护二级子域名（如 dev.mail.example.com）或不同根域名（如 example.net），且主流浏览器和CA/B论坛明确要求其必须使用SHA-2签名与密钥长度≥2048位（RSA）或≥256位（ECDSA）。
该段结束后换行
通配符仅在证书主题备用名称（SAN）中以单个星号（*）开头并紧接英文句点，如 DNS:*.topssl.cn。浏览器验证时执行精确左匹配，不支持通配符嵌套或多个通配符。若需覆盖 www.example.com 与 example.com，必须在SAN中显式列出两者——通配符本身不包含主域名。
根据BR 1.8.1条款，CA签发通配符证书前必须完成DNS CNAME或TXT记录验证（而非仅HTTP文件验证），且有效期不得超过39个月（自2025年9月起强制为39个月）。多数商业CA（如 Sectigo、Digicert）已停售2年期通配符产品。
通配符证书本身不含私钥，其公钥由中间CA签名，形成完整证书链：通配符证书 → 中间CA证书 → 根CA证书。浏览器仅信任预置在操作系统或浏览器中的根CA，因此部署时必须确保中间证书完整上传，否则将触发 NET::ERR_CERT_AUTHORITY_INVALID 错误。可使用 SSL证书链下载 工具自动补全缺失环节。
在TLS 1.2/1.3 握手期间，客户端解析服务器返回的证书，提取Subject Alternative Name字段，逐条比对请求Host头。若存在匹配的通配符条目（如 *.api.example.com 匹配 v1.api.example.com），则继续验证签名有效性与有效期；否则直接终止连接。此过程完全由客户端执行，服务端无干预能力。
| 维度 | 参考标准 | 工程师建议 |
|---|---|---|
| 适用场景 | 同一主域下动态子域较多（如SaaS多租户） | 优先选 通配符证书；若子域跨根域（如 client-a.com / client-b.com），改用 多域名证书 |
| 安全风险 | 私钥泄露将危及全部子域 | 生产环境严禁共享私钥；建议按业务线拆分为多个通配符证书（如 *.backend.example.com + *.frontend.example.com） |
| 兼容性 | 所有现代浏览器与Android 4.0+、iOS 5.0+ 支持 | 旧IoT设备（如部分Nginx 1.9.1以下版本）可能无法正确解析通配符SAN，建议升级或改用单域名证书 |
我们曾在一个电商客户项目中发现：其CDN节点未同步更新通配符证书中间链，导致约3.7%的iOS 12用户访问子域名时出现白屏。根本原因是苹果ATS策略对证书链完整性要求极高——该问题通过 安装教程 中的链补全步骤修复。
Q：通配符SSL证书能保护 www 和非www主域名吗？
A：不能。*.example.com 不包含 example.com 或 www.example.com，必须在证书SAN中单独添加这两项，或选用支持主域名自动包含的 通配符证书 产品。
Q：申请通配符SSL证书需要什么验证方式？
A：必须完成DNS验证（添加指定TXT或CNAME记录），不接受邮箱或HTTP文件验证。可使用 DNS解析记录查询 工具确认记录已全球生效。
Q：通配符证书支持国密SM2算法吗？
A：支持。国产 国密SSL证书 提供SM2+SM3+SM4组合的通配符型号，但仅适配国密浏览器插件及特定政务云环境，公网通用性受限。
免费https加密 “免费 HTTPS 加密”通常指使用免费颁发的 免费 SSL证书（如 Let’s Encrypt 提供的证书）来启用 TLS 协议，实现网站与客户端之间的传输层加密。其本质并非“无成本加密算法”，而是证书签发服务免费——加密本身由客户端（浏览器）和服务器共同基于 TLS 协议完成，使用标准的 RSA 或 ECDSA 密钥交换与 AES/GCM 等对称加密算法。 Let’s Encrypt 是目前最广泛采用的免费证书颁发机构（CA），遵循 ACME 协议，支持自动化申请、验证与续订。它...
查看详情HSTS HSTS（HTTP Strict Transport Security，RFC 6797）是一种 Web 安全策略机制，通过响应头 Strict-Transport-Security 告知浏览器：在指定时间内，必须仅使用 HTTPS 访问该域名及其子域名，禁止任何形式的 HTTP 回退或明文降级。 启用 HSTS 后，浏览器会在本地缓存该策略（由 max-age 参数控制），即使用户手动输入 http:// 或点击 HTTP 链接，浏览器也会自动将请求重写为 HTTPS，并拒绝加载任何不安全的混合内容。该机制可有效缓解 SSL...
查看详情CFCA EV证书 CFCA EV证书是由中国金融认证中心（China Financial Certification Authority，CFCA）签发的扩展验证（Extended Validation，EV）SSL/TLS 证书，符合 RFC 3647 和 CA/Browser Forum 的 EV Guidelines。其核心特征是：在证书申请过程中，CA 必须完成对申请组织的法律实体身份、实际运营地址、域名控制权及授权代表身份的严格人工审核；证书中包含经验证的组织名称（Subject.OU 或 Subject.O），并在主流浏览器地址栏中显示绿色锁形图标...
查看详情加密算法 在 SSL/TLS 协议中，加密算法指用于实现密钥交换、身份认证和数据传输加密的一组密码学原语，分为三类：密钥交换算法（如 ECDHE、RSA）、签名算法（如 ECDSA、RSA-PSS）、对称加密算法（如 AES-GCM、ChaCha20-Poly1305）。 现代 TLS 1.2/1.3 部署中，密钥交换与签名已普遍转向基于椭圆曲线的方案（如 secp256r1 + ECDSA 或 X25519 + EdDSA），以兼顾安全性和性能；对称加密则优先采用 AEAD 模式（如 AES-256-GCM 或 ChaCha20-Poly1305），确保机密...
查看详情ssl证书有效期 自2024年9月1日起，所有公开信任的 SSL证书（即由主流浏览器根存储信任的证书）最长有效期被强制限制为398天（约13个月），该策略由CA/B论坛（CA/Browser Forum）通过Ballot SC-026正式确立，并已由Apple、Microsoft、Google、Mozilla等根程序全面执行。 此限制适用于所有类型：DV SSL证书、OV SSL证书、EV SSL证书，以及国密SSL证书（若其根证书已纳入国际根库并用于HTTPS）。但不适用于私有PKI签发的内网证书、代码签名证书、邮件证书（S/...
查看详情tls TLS（Transport Layer Security，传输层安全协议）是用于在互联网上加密通信的标准协议，当前广泛部署的是 TLS 1.2 和 TLS 1.3。它取代了早期不安全的 SSL 协议（SSL 3.0 及更早版本已于 2015 年被 RFC 7568 正式弃用），所有现代 ssl证书 均基于 TLS 协议实现密钥交换、身份认证与数据加密。 在实际部署中，TLS 的安全性不仅依赖于协议版本，还取决于服务器配置：包括支持的密码套件（如是否禁用弱算法 RC4、SHA-1、TLS 1.0/1.1）、密钥交换机制...
查看详情流量劫持 流量劫持是指攻击者在用户与目标服务器之间非法插入或篡改网络通信路径，使原本应直接传输的数据被重定向、监听、修改或伪造。在 HTTPS 场景下，典型形式包括中间人攻击（MITM），例如通过伪造证书、利用系统/浏览器信任的恶意根证书、或强制降级至 HTTP（SSL Stripping）实现劫持。 现代浏览器对 HTTPS 连接实施严格校验：若服务器提供的 ssl证书 不可信（如自签名、过期、域名不匹配、签发 CA 不在信任列表中），会明确阻断连接并显示严重警...
查看详情证书安装 SSL/TLS 证书安装是指将签发的证书文件（含证书链和私钥）正确部署到 Web 服务器、负载均衡器或反向代理等终端上，使 HTTPS 连接可被浏览器验证并建立加密通道。安装本身不改变证书内容，但配置错误会导致证书不可信、链路中断或浏览器显示“NET::ERR_CERT_AUTHORITY_INVALID”等错误。 典型安装需提供三类文件：① 域名证书（domain.crt 或 certificate.pem）；② 中间证书（ca-bundle.crt 或 chain.pem），用于补全信任链；③ 私钥文件...
查看详情服务器 在 SSL/TLS 语境中，“服务器”通常指运行 Web 服务（如 Nginx、Apache、IIS、OpenResty 或云原生网关）并需配置 ssl证书 的终端主机。其核心作用是：接收 HTTPS 请求、完成 TLS 握手（含证书验证）、解密客户端流量，并将明文请求转发至后端应用。 服务器侧的 SSL/TLS 实现依赖三个关键组件：私钥（必须安全存储且不可导出）、证书文件（含公钥及签发链）、以及可信根证书库（用于验证客户端证书或上游服务，如 OCSP 响应签名）。主流操作系统（Linux...
查看详情## 如何将 SSL 证书.pem 格式转换为 .crt 格式 .pem 和 .crt 在实际使用中本质是同一类编码格式（Base64 编码的 PEM 容器），二者\*\*没有技术上的格式差异\*\*，仅是文件扩展名不同。.crt 文件通常也遵循 PEM 编码规范（即以 `-----BEGIN CERTIFICATE-----` 开头、`-----END CERTIFICATE-----` 结尾），因此“转换”本质上是重命名或验证内容是否符合 X.509 证书结构。 若原始 `.pem` 文件确实包含标准的单个证书（非私钥、非证书链拼接体），可直...
查看详情Digicert（原赛门铁克 Digicert 于 2017 年收购 Symantec（赛门铁克）的数字证书业务，包括其 PKI 基础设施、根证书（如 GeoTrust Global CA、Thawte SSL CA G2 等）及全部域名验证类证书资产。自 2018 年起，所有新签发的原 Symantec 根体系证书必须由 Digicert 自有根（如 DigiCert TLS RSA SHA256 2020 CA1）签发；旧根证书（如 VeriSign Class 3 Public Primary Certification Authority - G5）已逐步停用，并于 2021 年被主流浏览器（Chrome...
查看详情有域名和网站的FTP管理权限，可以安装证书吗 仅凭域名所有权和 FTP 管理权限，无法直接完成 SSL/TLS 证书的安装与生效。FTP 权限仅允许上传/修改网站静态文件（如 HTML、CSS、JS），但 SSL 证书需由 Web 服务器（如 Nginx、Apache、IIS）在 TLS 握手层加载并验证，该过程依赖服务器操作系统级配置，而非网站根目录文件操作。 具体限制如下： 证书私钥不可通过 FTP 部署：私钥必须安全存储于服务器文件系统受保护路径（如 /etc/ssl/private/），且需由...
查看详情只有域名管理权限可以安装ssl证书吗 不是。域名管理权限（如 DNS 解析控制权）通常用于验证域名所有权（例如通过 DNS-01 挑战），但安装 SSL/TLS 证书本身依赖的是服务器或应用层的访问权限，而非域名管理权限。 具体来说： 证书申请阶段：需验证你对域名的控制权，可选 HTTP-01（需 Web 服务器可写入 /.well-known/acme-challenge/）、DNS-01（需修改 DNS TXT 记录）或 TLS-ALPN-01（需配置特定 TLS 扩展）。其中仅 DNS-01 需要域名管理权限；其余方式...
查看详情又拍云 又拍云（UpYun）是一家国内领先的云服务提供商，主要提供对象存储、CDN 加速、图片处理、音视频转码及边缘计算等服务。在 HTTPS 部署场景中，又拍云支持用户自主上传和管理 SSL/TLS 证书，并为绑定的域名自动启用 HTTPS 访问。 其控制台支持上传 PEM 格式的证书链（含域名证书 + 中间证书）与私钥，也支持一键部署 免费ssl证书（如 Let’s Encrypt），并可配置 HTTP 强制跳转、HSTS、OCSP Stapling 等安全策略。又拍云 CDN 节点默认信任主流根证...
查看详情谷歌浏览器中的 NET::ERR_CERT_AUTHORITY_INVALID 错误 该错误表示 Chrome 拒绝信任当前网站的 SSL/TLS 证书，根本原因是证书链中缺少可信的根证书（Root CA）或中间证书（Intermediate CA）未正确部署，导致浏览器无法构建一条可验证至已知信任锚（Trusted Root Store）的完整证书路径。 常见成因包括：服务器未配置完整的证书链（仅部署了域名证书，遗漏中间证书）；使用了私有 CA 或自签名根证书但未被 Chrome 信任；证书由已被 Chrome 移除信...
查看详情企业级加密ssl证书 “企业级加密 SSL 证书”并非 RFC 或浏览器标准中的正式分类，而是业界对具备高强度加密能力、严格身份验证流程及企业级信任保障的 SSL/TLS 证书的统称。其核心特征包括：支持 TLS 1.2/1.3 协议、采用 RSA 2048 位或 ECC 256 位及以上密钥强度、由受信根证书颁发机构（CA）签发，并通过组织验证（OV）或扩展验证（EV）确认申请者真实身份。 在实际部署中，企业级应用（如网银、ERP、SaaS 后台、API 网关）通常要求证书同时满足三方面要...
查看详情什么是SSL证书ACME协议？ ACME（Automated Certificate Management Environment）是一种由 IETF 标准化（RFC 8555）的公开协议，用于自动化 SSL/TLS 证书的申请、验证、签发、续订与吊销全流程。它定义了客户端（如 Certbot、acme.sh 或 Nginx 插件）与证书颁发机构（CA）服务器之间的 HTTPS API 交互规范，核心目标是消除人工干预，实现证书生命周期的零接触管理。 ACME 协议不绑定特定 CA，但被广泛支持：Let’s Encrypt 是首个大规模生产部署 ACME v2...
查看详情SSL证书的兼容性风险源于信任锚的动态演进 SSL/TLS 证书本身不包含可执行代码，因此不存在传统意义上的“漏洞”，但其有效性高度依赖客户端对证书链的信任锚（Trust Anchor）配置。Android 系统自 Android 7.0（Nougat）起将用户安装的 CA 证书默认排除在系统级 TLS 验证之外；Android 10 进一步限制应用若未显式声明 `android:networkSecurityConfig`，则仅信任预置系统 CA，完全忽略用户添加的根证书。这一变更并非协议缺陷，而是平台对信任边...
查看详情证书生命周期阶段决定操作性质 SSL/TLS 证书的“重新申请”与“续签”在 RFC 5280 和 ACME 协议（RFC 8555）中并无术语定义，二者属于工程实践中形成的非正式区分。续签（renewal）特指在原证书尚未过期时，基于相同域名、相同主体信息、相同密钥对（或可选轮换）生成新有效期证书的操作，通常由自动化工具（如 Certbot、acme.sh）触发，复用已有验证状态（如 DNS-01 或 HTTP-01 的授权缓存），且多数 CA 允许在到期前 30–90 天内执行。重新申请...
查看详情
2004-2026 ©北京传诚信 版权所有 | TopSSL提供免费 SSL 证书与企业级付费证书申请,快速实现 HTTPS 加密 北京市朝阳区鹏景阁大厦16层
京公网安备11010502031690号
网站经营企业工商营业执照
