客户问答

## 锐安信是什么？ 锐安信（sslTrus）是锐成信息推出的国产 SSL 证书品牌。锐成信息本身做证书服务起家，与 Sectigo 等国际 CA 有长期合作，锐安信可以理解为把国际 CA 的签发能力接进来，针对国内使用场景做了一层本地化封装。 它的证书链通过交叉签名接入主流信任体系，主流浏览器和操作系统可以正常识别。需要说清楚的一点是，信任状态取决于交叉根本身的信誉，品牌宣传里常见的"所有浏览器都信任"，准确的说法是"通过交叉签名链实现兼容"。理...

## 等保三级是什么？ **等保三级是网络安全等级保护制度（等保 2.0）中的第三个级别，** 适用于一旦遭到破坏会对国家安全、社会秩序或公共利益造成严重损害的重要信息系统，金融、医疗、教育、政务等行业的核心业务系统一般定级为三级。 三级的强制性体现在：运营者需要完成定级、备案、安全建设整改、等级测评四个环节，且每年至少开展一次等级测评。 技术层面，三级测评覆盖安全物理环境、通信网络、区域边界、计算环境、管理中心五个方面，其中通信网...

## SSL 证书常见知识有哪些？ 第一次接触 SSL 证书，最常听到的说法是"装个证书网站就变安全了"。真到自己操作时，会冒出一堆问题：买 DV 还是 OV？单域名和通配符什么区别？为什么免费证书有人不用？浏览器报"不安全"到底哪里没弄对？这篇按新手最容易困惑的顺序，把常见知识点过一次。 --- ## 什么是 SSL 证书 SSL 证书（标准说法是 TLS 证书，习惯上仍叫 SSL 证书）是一份数字文件，里面包含网站的公钥、域名、签发证书的 CA、有效期等信息。它的作...

## Wildcard是什么意思？ **Wildcard** 中文一般译为“通配符”，指使用特殊符号代替一个或多个字符、名称或匹配对象的机制。 在 SSL 证书领域，Wildcard 主要指​**通配符 SSL 证书**​，通过域名中的星号 `*` 匹配同一主域名下的多个一级子域名。 例如，`*.example.com` 可以保护： * `www.example.com` * `api.example.com` * `shop.example.com` * `mail.example.com` 但它不能匹配 `a.api.example.com` 这样的多级子域名。 --- ### Wildcard...

## 免费HTTPS加密需要申请吗？ **需要申请 SSL/TLS 证书，但不一定需要人工操作。** 免费 HTTPS 加密通常是通过受信任的 CA（证书颁发机构）免费签发 SSL/TLS 证书，再将证书部署到网站服务器、CDN 或负载均衡设备上。 以 Let's Encrypt、ZeroSSL 等支持 ACME 协议的 CA 为例，申请免费证书时仍然需要验证域名控制权。验证通过后，CA 才会签发证书。 因此，“免费”主要指​**证书本身不收取费用**​，并不意味着完全不需要申请或验证。 --- ## 免...

## 什么是HSTS？ HSTS（HTTP Strict Transport Security，HTTP 严格传输安全）是一种由服务器通过响应头下发、由浏览器执行的 HTTPS 强制策略，用于消除站点部署 HTTPS 之后仍然存在的明文降级风险。 它与 SSL/TLS 证书协同工作：证书负责身份验证与加密传输，HSTS 负责把"必须走 HTTPS"固化为浏览器侧的强制规则，阻断 SSL 剥离攻击。 --- 很多网站部署 HTTPS 之后，会觉得安全问题到此为止了。实际不是。用户第一次访问时如果从 http:// 开头——...

## CFCA EV证书是什么？ CFCA EV 证书由中国金融认证中心（CFCA）签发，属于验证级别最高的增强型验证证书，面向金融行业及合规要求严格的政企单位。 EV 级别的核心特征是申请时对机构身份做深度核验——工商信息比对、授权关系证明、部分法律声明材料。 过去 EV 曾通过浏览器地址栏展示企业名称增强识别，现代主流浏览器已取消这一展示方式，当前 EV 的价值主要体现在严格身份审核、合规材料和企业身份证明上。 CFCA 的 EV 申请流程以材料审核为...

## SSL证书相关的加密算法有哪些？ SSL/TLS 证书与 HTTPS 通信涉及的加密算法按功能分四大类： * 证书公钥与签名算法（RSA、ECC、Ed25519）决定证书密钥类型和 CA 签名方式； * 密钥交换算法（ECDHE、DHE、RSA）在握手阶段协商临时通信密钥； * 对称加密算法（AES-GCM、ChaCha20-Poly1305）负责传输数据的实际加密； * 哈希算法（SHA-2）用于完整性校验和证书指纹。 国密算法体系（SM2、SM3、SM4）是国内政企、金融场景在国密 TLS 协议下的自主密码方案。 对...

## SSL证书有效期为什么只有一年？ SSL 证书的有效期在过去几年经历了明显压缩： 2015 年前上限约 39 个月，2018 年调整为 825 天（约 27 个月），2020 年 9 月 1 日起新签发证书最长只能 398 天（约 13 个月）。 规则调整的核心原因不是商业因素，而是浏览器厂商认为长期有效证书带来的风险越来越高：私钥泄露窗口更长、弱算法退役更慢、证书里的身份信息更容易过时。 对网站运营者来说，398 天是既定规则，真正需要调整的是管理方式——把续期、部署...

## 什么是 TLS **TLS（Transport Layer Security，传输层安全性协议）是一种密码学协议，用于在网络通信中提供数据加密、身份认证和完整性校验。** 它是 SSL（Secure Sockets Layer）的升级与替代者，也是现代互联网安全的基础设施——HTTPS 就是 HTTP 跑在 TLS 之上的结果，想完整改造可以看[HTTP 转 HTTPS 的迁移流程](https://www.topssl.cn/http-to-https)。 TLS 的作用体现在三件事上： 数据加密（机密性），用对称加密算法（如 AES、ChaCha20）对...

## 什么是流量劫持？ 流量劫持指**攻击者或中间设备在用户与服务器之间拦截、修改或重定向通信数据**， 常见形式包括 DNS 劫持（域名被解析到错误服务器）、HTTP 劫持（明文网页被注入广告代码）、ARP 劫持（局域网内冒充网关）和客户端劫持（终端被恶意软件控制）。 劫持发生的根源是链路环节缺乏加密和验证：HTTP 明文可被任意中间节点读取修改，DNS 查询默认不加密可被伪造响应，局域网可被冒充身份。 HTTPS 通过 TLS 加密从三个层面阻断劫持——证...

## 服务器和虚拟主机安装SSL证书有什么区别？ 服务器和虚拟主机安装 SSL 证书，底层都要把证书和私钥交给 Web 服务器，TLS 握手机制本身没有区别； 真正的区别在于操作路径：独立服务器需要登录系统、编辑 Nginx/Apache 配置文件、自行处理证书链与续期任务，虚拟主机则通过空间商控制面板完成，部分面板还内置了免费证书的一键申请与自动续期。 --- ## 同一个证书，为什么安装方式有两种 很多人在购买证书后，服务商会先问一句：站点跑在服务器...

## 如何将PEM证书转换为CRT文件？ PEM 和 CRT 在多数场景下不是两种不同的证书， 而是同一份证书的两种包装：证书本体以 Base64 编码的文本形式存在，`-----BEGIN CERTIFICATE-----` 到 `-----END CERTIFICATE-----` 之间的内容就是它本身，扩展名用 .pem 还是 .crt，只影响服务器怎么识别它。转换的核心结论是：文件里只有一个公钥证书时，直接改后缀即可； 文件里混入了私钥或证书链时，需要用 openssl x509 提取公钥部分，再生成 .crt。 本文...

## DigiCert和赛门铁克是什么关系？ 在 SSL/TLS 证书选购或运维排查过程中，不少运维人员会遇到诸如“原赛门铁克证书怎么变成了 DigiCert”、“旧系统中的 VeriSign 与现在 DigiCert 有什么联系”等疑问。 ，**DigiCert 在 2017 年正式完成了对赛门铁克（Symantec）旗下网站安全与 PKI（SSL 证书）业务的收购**。双方并非单纯的竞争或代售关系，而是通过资产重组实现了品牌与 CA 基础设施的接管与合并。 --- ## 一、 收购的历史背景与事件起因 2017 ...

## 只有FTP权限可以安装SSL证书吗？ **只有 FTP 权限，不能直接完成 SSL 证书的最终安装。** FTP 协议只能上传和管理网站文件，无法修改 Nginx、Apache、IIS 等 Web 服务器的配置文件，也不能重载服务让新证书生效；证书要能被浏览器信任，必须由 Web 服务进程加载证书和私钥并在 443 端口监听，这一步绕不开服务器层面的操作。 如果网站跑在虚拟主机上，可以通过服务商控制面板（cPanel、宝塔等）的 SSL 管理功能导入证书； 如果跑在云服务器上，需...

只有域名管理权限可以安装ssl证书吗 不是。域名管理权限（如 DNS 解析控制权）通常用于验证域名所有权（例如通过 DNS-01 挑战），但安装 SSL/TLS 证书本身依赖的是服务器或应用层的访问权限，而非域名管理权限。 具体来说： 证书申请阶段：需验证你对域名的控制权，可选 HTTP-01（需 Web 服务器可写入 /.well-known/acme-challenge/）、DNS-01（需修改 DNS TXT 记录）或 TLS-ALPN-01（需配置特定 TLS 扩展）。其中仅 DNS-01 需要域名管理权限；其余方式...

## 又拍云是做什么的？ 又拍云（Upaiyun）是一家国内领先的云安全与云计算服务提供商，主要围绕**内容分发网络（CDN）与云存储**为企业和开发者提供基础基础设施服务。 核心功能在于通过分布在各地的边缘节点，帮网站与移动应用解决数据存储、图片音视频处理以及访问加速的问题。 无论是加速静态网页、提供云端文件存储，还是部署 HTTPS 证书实现安全加密，又拍云都能提供对应的云计算支撑。 --- ## 又拍云的核心产品与服务能力 在实际业务架构中...

## NET::ERR_CERT_AUTHORITY_INVALID 错误的根本原因是什么？ 谷歌浏览器（Google Chrome）在访问 HTTPS 网站时提示 `NET::ERR_CERT_AUTHORITY_INVALID`，直译为“证书颁发机构无效”。 该报错的根本原因是：**浏览器在建立 TLS 握手连接时，无法将该网站提供的 SSL 证书校验追溯到系统的“受信任根证书颁发机构（Root CA）”**。 浏览器出于安全考虑，认为当前通信存在被中间人攻击（MITM）或数据劫持的风险，从而主动拦截了连接。要了解证书合规要求...

## 企业级加密SSL证书是什么？ 企业级加密SSL证书不是证书标准里的正式分类，而是业界对满足高加密强度、严格身份验证和可审计信任链的 SSL/TLS 证书的统称。 判断一张证书是不是企业级，看的不是密钥位数，而是三件事： 加密能力（支持 TLS 1.2/1.3、RSA 2048 或 ECC 256 位以上、排除 SHA-1/RC4）、验证级别（OV 组织验证或 EV 扩展验证，确认申请者真实身份）、证书链与 CA 资质（根证书预置于主流信任库，CA 具备 WebTrust 或 ETSI EN 319 411 审...