锐安信（vTrus）是否可以用于内网SSL证书，需要先区分公网域名、内网域名和私有IP地址。
如果企业使用的是已经注册的公网域名，只是网站服务部署在内网，证书申请方式与普通公网网站并没有本质区别；如果使用的是 .local、.internal 等内部名称，或者直接使用 192.168.x.x 等私有IP访问，则不能按照普通公网DV证书的申请方式处理。
对于锐安信是否能够提供特定内网证书方案，可以联系 TopSSL 客服，根据实际域名、IP和部署环境确认。
很多人认为“服务器在内网，所以必须使用内网SSL证书”，其实不完全正确。
真正决定证书能否申请的关键，是证书中的域名或IP是否属于公共CA允许签发的范围，以及客户端是否能够建立对应的信任链。
可以简单分成三种情况：
| 使用方式 | 示例 | 推荐方案 |
|---|---|---|
| 公网域名，服务部署在内网 | oa.example.com | 公共CA证书 |
| 注册域名的内部子域名 | internal.example.com | 公共CA证书，可通过DNS验证 |
| 私有域名或私有IP | oa.local、oa.internal、192.168.1.10 | 私有CA或针对性定制方案 |
因此，服务器是否位于公司内网，并不是判断能否申请公共SSL证书的唯一条件。
可以。
例如企业内部OA系统实际使用：
oa.example.com
服务器可能位于：
192.168.1.20
虽然服务器没有公网IP，员工也只能在公司网络中访问，但证书保护的是 oa.example.com 这个域名。
如果该域名属于企业所有，并且能够按照CA要求完成域名控制权验证，就可以申请相应的公网信任SSL证书。
这种方式还有一个明显优势：
客户端不需要额外安装企业根证书。
只要客户端本身信任签发该证书的公共CA，就可以正常建立HTTPS连接。
.local、.internal等内网域名怎么办？如果企业使用：
oa.local
erp.internal
git.corp
这类内部名称，就不能简单按照普通公网DV证书的申请流程处理。
这时候更适合采用**企业内部PKI（Public Key Infrastructure）**。
企业可以部署自己的内部CA，例如：
然后由内部CA为：
oa.internal
erp.internal
git.internal
等内部服务签发证书。
客户端设备只需要预先信任企业内部根CA，就可以正常访问这些HTTPS服务。
如果员工直接通过：
https://192.168.1.20
访问服务器，那么证书需要覆盖这个IP地址。
这里需要特别注意：
私有IP地址和公网IP地址不是同一类证书申请场景。
不能因为服务器能够在内网访问，就直接认为公共CA可以为 192.168.x.x、10.x.x.x 或 172.16.x.x 这样的私有IP签发普通公网信任证书。
如果业务必须通过IP访问，更适合考虑：
如果企业的内网环境存在特殊需求，例如：
建议不要直接按照普通公网DV证书下单。
锐安信是否能够针对具体内网域名、IP或企业PKI环境提供证书方案，需要根据实际情况人工确认。
尤其是涉及私有域名、私有IP、内部信任体系等情况，证书类型、信任链和签发方式可能与普通公网SSL证书完全不同。
如果你的需求正是这类场景，可以直接联系 TopSSL 客服提供以下信息：
客服根据这些信息确认具体方案，比直接购买一张普通DV证书更加稳妥。
例如：
oa.example.com
erp.example.com
api.example.com
即使服务器位于内网，也可以使用公共CA证书。
优点：
如果企业已经拥有自己的公网域名，这是内网HTTPS值得优先考虑的方案。
如果企业拥有大量内部系统，例如：
oa.internal
erp.internal
git.internal
monitor.internal
可以建立统一的内部PKI。
架构可以理解为：
企业根CA
↓
中间CA
↓
内部SSL证书
↓
OA / ERP / API / Git / 监控系统
同时通过域策略、MDM或其他终端管理方式，把企业根CA部署到员工电脑和受管设备。
这种方案更适合大型企业，因为证书数量增加以后，统一管理比逐台手工导入证书更加重要。
部分企业虽然是内网环境，但有比较特殊的证书需求，例如大量设备认证、内部API通信或者特定行业PKI体系。
这类需求不适合直接用“买一张DV证书”的思路处理。
可以把具体网络架构和证书需求提供给服务商，由技术人员确认是否存在合适的企业证书或PKI方案。
可以按照下面的方式判断：
| 企业实际情况 | 推荐方案 |
|---|---|
| 内网服务使用公网域名 | 公共CA SSL证书 |
| 已有企业公网域名，仅DNS解析在内网 | 公共CA SSL证书 |
使用.local、.internal等内部名称 | 企业私有CA |
直接使用192.168.x.x等私有IP | 私有CA或定制方案 |
| 企业有大量内部HTTPS服务 | 企业PKI/证书管理体系 |
| 少量测试服务器 | 测试CA或临时内部证书 |
| 要求所有浏览器默认信任 | 优先考虑公共CA证书+公网域名 |
例如访问：
https://oa.example.com
证书的SAN中就需要包含：
oa.example.com
如果用户实际访问的是：
https://192.168.1.20
而证书只包含：
oa.example.com
即使证书本身有效，浏览器依然会产生域名不匹配错误。
内网HTTPS最容易出现的问题不是“有没有证书”，而是：
客户端是否信任这张证书。
使用公共CA证书时，操作系统和浏览器一般已经预置相应信任根。
使用企业私有CA时，则需要提前把企业根证书部署到客户端。
否则就可能出现：
SEC_ERROR_UNKNOWN_ISSUER
NET::ERR_CERT_AUTHORITY_INVALID
MOZILLA_PKIX_ERROR_SELF_SIGNED_CERT
等证书信任错误。
企业一旦建立自己的根CA，根CA私钥就成为整个内部信任体系的核心资产。
根CA私钥泄露后，攻击者可能伪造企业内部信任体系中的证书。
因此生产环境不应该简单把根CA私钥放在普通服务器上长期在线运行，可以根据安全等级采用离线根CA、中间CA、HSM等方式进行保护。
A：不一定。关键要看证书保护的域名或IP。如果使用已经注册的公网域名，即使服务器部署在内网，也可以按照公共CA的要求申请证书；如果使用私有域名或私有IP，则需要考虑私有CA或定制方案。
.internal域名可以申请公网SSL证书吗？A：不能简单按照普通公网DV证书处理。.internal属于内部名称，企业可以通过私有CA为这类内部域名签发证书，并在客户端部署对应的信任根。
A：不一定。如果内网系统使用企业已经注册的公网域名，并且能够完成公共CA要求的域名验证，可以直接使用公共CA证书。只有在使用内部名称、私有IP或者需要建立独立企业信任体系时，私有CA才更合适。
A：如果是特殊的内网域名、私有IP或企业内部证书需求，建议直接联系锐安信或TopSSL客服确认具体方案。不要直接把普通公网DV证书与内网定制证书当成同一种产品。
## IIS 8 HTTPS请求被重定向到HTTP怎么办？ IIS 8网站正常情况下不应该将 HTTPS 请求主动重定向到 HTTP。如果浏览器访问 `https://example.com` 后收到 `http://example.com` 的 `301` 或 `302` 跳转，说明服务器端或应用程序返回了 HTTP 地址。 常见原因包括 IIS URL Rewrite 规则配置错误、ASP.NET 应用生成了错误的绝对URL、反向代理没有正确传递 HTTPS 状态，以及站点代码中的固定跳转地址。 排查时应先查看 HTTP 响应中的 `Location` ...
查看详情## JKS怎么合成？ SSL证书部署到 Tomcat、Spring Boot 等 Java 应用时，如果手里的证书是 `.crt`、`.pem` 和 `.key` 文件，可以先使用 OpenSSL 将证书和私钥转换为 PKCS#12（`.p12`/`.pfx`），再使用 Java 自带的 `keytool` 导入为 JKS。 **如果手里已经有包含私钥和完整证书链的 PFX/P12 文件，则不需要重新合成，直接使用 `keytool -importkeystore` 转换即可。** --- ## JKS合成需要准备哪些文件？ 先确认手里的证书文件。 一般会涉及以下几个...
查看详情## GlobalSign无法签发SSL证书？ 当 GlobalSign 为域名签发 SSL/TLS 证书时，如果 DNS 中存在 CAA（Certificate Authority Authorization）记录，CA 需要根据该记录判断自己是否被域名所有者授权签发证书。如果 CAA 记录只允许其他 CA，例如 Let's Encrypt、DigiCert，而没有授权 GlobalSign，GlobalSign 就可能拒绝签发。 需要注意的是，**CAA 放行只是签发条件之一**。修改 CAA 后，仍然需要按照 GlobalSign 的要求完成域名控制权验证（DCV）...
查看详情## CFCA SSL证书审核流程：DV、OV、EV证书申请需要审核什么？ CFCA SSL证书的审核内容取决于证书类型。DV证书主要验证申请者对域名的控制权，OV证书在此基础上还需要验证组织身份，EV证书则需要完成更加严格的组织及申请者身份审核。 CFCA目前公开的全球信任体系证书包括DV、OV和EV SSL证书，其中DV支持单域名、多域名和通配符，OV支持单域名、多域名和通配符，EV支持单域名和多域名。 --- ## CFCA SSL证书审核主要分为哪些内容？ 申请 CFCA SSL 证...
查看详情## Linux服务器如何安装CFCA SSL证书？ CFCA SSL证书部署到 Linux 服务器时，核心流程与其他 CA 签发的 SSL 证书基本一致：先生成私钥和 CSR，完成域名及组织验证后获取服务器证书和中间证书链，再根据服务器软件完成配置。 需要特别注意的是，**普通 CFCA SSL 证书与国密 SSL 证书不是同一种部署场景**。普通公网 HTTPS 可以按照 RSA/ECC + TLS 的常规方式配置；如果业务明确要求 SM2/SM3 等国密算法，则还需要使用支持国密协议和算法的服...
查看详情## CFCA SSL证书支持ECC算法吗？ **CFCA的部分SSL/TLS证书支持使用ECC密钥，但具体是否支持以及可使用的椭圆曲线，需要以申请的证书产品和CFCA当前签发策略为准。** ECC（Elliptic Curve Cryptography）是一种公钥密码体系。在SSL/TLS证书中，ECC主要体现在证书的公钥和服务器私钥采用椭圆曲线密钥，而不是RSA密钥。 与RSA相比，ECC可以在较短的密钥长度下提供较高的安全强度。例如，常见的P-256曲线可以用于现代TLS环境。ECC证书还可以减少部分...
查看详情## 信创SSL证书并不是一种独立的SSL证书类型。 信创是“信息技术应用创新”的简称。在SSL/TLS领域，信创并不意味着简单地把国外CA更换成国产CA，也不是所有国产SSL证书都可以直接称为“信创SSL证书”。 实际项目中，需要结合系统使用的操作系统、服务器、密码设备、浏览器以及行业监管要求，确定是否需要采用国产CA、国密算法或国密SSL/TLS体系。 如果项目明确要求使用国密密码体系，那么证书、服务器和客户端之间还需要解决国密算法和信任链的兼容问...
查看详情## Windows XP无法访问HTTPS网站怎么办？ Windows XP访问现代HTTPS网站时出现证书错误、连接失败或无法建立安全连接，问题不一定出在SSL证书本身。由于Windows XP已经停止支持多年，其TLS协议、根证书库以及浏览器环境都比较陈旧，与现代HTTPS服务器之间可能出现协议、证书链、SNI或密码算法兼容问题。 因此，排查XP的HTTPS问题时，不能简单地通过更换SSL证书解决，需要同时检查**客户端TLS能力、浏览器、证书链和服务器TLS配置**。 --- ##...
查看详情## 现在浏览器没有“绿锁”是不是SSL证书有问题？ 不一定。 过去部分浏览器会使用绿色锁、绿色地址栏等方式突出显示 HTTPS 或 EV 证书，但现代 Chrome、Firefox、Edge 等浏览器早已取消这种“绿锁”作为网站安全等级的主要展示方式。 **安装 SSL 证书后没有绿色锁，并不能说明证书没有生效。** 判断 HTTPS 是否正常，应该重点检查以下几个方面： * 浏览器访问地址是否明确使用 `https://`； * 证书是否已经签发并处于有效期限内； * 证书中的 SAN 扩...
查看详情国密SSL证书双证书双算法方案详解：SM2+RSA如何兼顾合规与兼容？ --- ## 什么是国密SSL证书双证书双算法方案？ 国密SSL证书双证书双算法方案，是指在同一套HTTPS系统中，同时部署： * 一张支持国产SM2算法的国密SSL证书； * 一张支持RSA等国际算法的SSL证书。 通过服务器、负载均衡设备或国密密码服务平台，根据访问终端的密码能力自动选择合适的证书和加密算法。 简单来说： **SM2证书负责满足国产密码应用要求，RSA证书负责保障互联网用户访问...
查看详情## 免费SSL证书能永久使用吗？为什么没有永久免费的SSL证书 免费 SSL 证书不能生成一张并无限期使用。公网信任的证书均有严格的生命周期限制，到期后必须重新签发或续期。 免费证书与付费证书的区别在于服务模式与核验深度，并不意味着可以绕过安全规范。 对于支持 ACME 自动续期的免费证书，只要域名控制权正常且续期流程运行顺畅，即可实现“长期零成本使用 HTTPS”，但这并不等同于“一张证书永久有效”。了解 [什么是SSL证书？](https://www...
查看详情## 申请免费数字证书有哪些注意事项？ 免费数字证书如果用于网站 HTTPS，实际指的是**受公网信任的免费SSL/TLS服务器证书**。这类证书一般采用 DV（域名验证）方式签发，CA主要验证申请者是否拥有域名控制权，不需要审核企业营业执照等组织信息。申请成功后，证书可以用于 Nginx、Apache、IIS、Tomcat 等服务器，为网站提供 HTTPS 加密。 需要注意的是，免费SSL证书并不意味着证书可以永久有效。公网 TLS 证书都有有效期限制，免费证书一般采用较...
查看详情## Chrome浏览器怎么导出CFCA证书？ 如果需要从 Chrome 中获取网站使用的 CFCA（中国金融认证中心）证书，首先要区分**服务器证书、中间证书、根证书和私钥**。 通过浏览器可以查看网站服务器返回的公钥证书，并在 Windows 证书查看器中将证书导出为 `.CER` 等格式。但浏览器无法通过这种方式导出网站服务器的私钥。需要迁移自己申请的 SSL 证书时，应从服务器、证书管理平台或原始证书文件中获取私钥。 --- ## Chrome可以导出CFCA证书吗？ 可...
查看详情## DigiCert SSL证书怎么部署？ DigiCert SSL证书签发后，不能直接把证书文件上传到服务器就结束了，还需要根据服务器类型配置证书、私钥和中间证书链。**Nginx和Apache一般使用CRT/PEM证书配合KEY私钥，IIS一般导入PFX证书，Tomcat则可以使用PFX/PKCS#12或JKS。** 如果证书已经签发，首先确认手里有以下文件： * **服务器证书**：一般为 `.crt`、`.cer` 或 `.pem` * **私钥文件**：一般为 `.key` * **中间证书**：DigiCert提供的 CA Chain...
查看详情## 当前SSL证书优惠活动 TopSSL不定期推出SSL证书优惠活动，活动范围包括DV SSL证书、OV SSL证书、通配符SSL证书和多域名SSL证书等。 由于SSL证书品牌、产品和促销政策会随供应商调整，**具体活动价格和有效期以TopSSL当前页面显示为准**。如果页面没有标注活动截止时间，则不建议把历史促销价格作为当前报价。 ### 锐安信（sslTrus）SSL证书优惠 锐安信（sslTrus）是国内常见的SSL证书品牌之一，产品覆盖DV、OV以及通配符等类型。 目前TopSSL主...
查看详情## IIS怎么添加HTTP到HTTPS重定向？ 在 IIS 中配置 HTTP 到 HTTPS 重定向，最常用的方案是借助 IIS URL Rewrite 模块创建 301 重定向规则。当用户通过 HTTP 协议发起请求时，服务器会自动返回 301 状态码并将请求引导至对应的 HTTPS 地址。 配置前需要确保服务器已经完成 [SSL证书安装](https://www.topssl.cn/ssl-install) 并且 HTTPS 站点可以正常访问。利用 URL Rewrite 的 `{HTTPS}` 匹配条件，可以避免网页产生 HTTP 与 HTTPS 双版本...
查看详情## DigiCert SSL证书怎么样？  时，会遇到一个问题：**明明只申请了一个通配符证书，为什么证书申请后台要求添加两条 DNS TXT 验证记录？** 这通常不是系统错误，而是因为你的证书订单中可能同时包含了： * 主域名验证； * 通配符域名验证。 CA 机构需要确认申请者同时拥有这两个名称的控制权限，因此会生成多个 DCV（Domain Control...
查看详情## SSL证书域名不匹配怎么办？ 客户端浏览器在建立 HTTPS 连接时，如果发现访问的域名未包含在服务器返回证书的主题备用名称（Subject Alternative Name, 简称 SAN）中，就会拦截访问并提示域名不匹配（如 `ERR_CERT_COMMON_NAME_INVALID`）。 解决此类问题需要区分是证书本身未覆盖目标域名，还是服务器配置、SNI 机制或网络层解析导致返回了错误证书。直接排查建议从证书 SAN 节点扩展、Nginx/IIS 站点绑定、DNS IPv4/IPv6 节点指向以及 CDN ...
查看详情
TopSSL是一站式SSL证书服务平台，提供免费SSL证书申请、商业SSL证书服务及HTTPS安全解决方案，支持DV、OV、EV、通配符和国密SSL证书服务。2004-2026 © 北京传诚信 版权所有 | 北京市朝阳区鹏景阁大厦16层
京公网安备11010502031690号
网站经营企业工商营业执照
