国密SSL证书主要采用SM2、SM3、SM4三种国产密码算法：
三者共同组成国密SSL/TLS密码体系，用于满足金融、政务、能源等行业对于国产密码应用和等保合规的要求。
普通SSL证书通常采用：
| 类型 | 算法 |
|---|---|
| 公钥算法 | RSA/ECDSA |
| 哈希算法 | SHA256 |
| 对称加密 | AES |
而国密SSL证书采用：
| 功能 | 国密算法 |
|---|---|
| 身份认证 | SM2 |
| 摘要算法 | SM3 |
| 数据加密 | SM4 |
主要区别：
SM2 是一种基于椭圆曲线密码学（ECC）的非对称公钥密码算法。在国密 SSL 证书建立安全连接时，SM2 主要发挥以下核心作用：
与传统 RSA 算法相比，RSA 依靠大数分解难题，一般需要 2048 位甚至更长的密钥才能维持足够的安全强度；而 SM2 基于椭圆曲线离散对数问题，256 位的 SM2 密钥在保证安全性的同时，相比传统 RSA 具有密钥长度短、计算效率高等特点，能有效降低服务器建立连接时的运算开销。
SM3 是一种密码摘要算法，其在国密 TLS 通信中的主要职责是确保数据传输过程不被中途篡改或伪造。
当客户端与服务器传输数据时，发送端会使用 SM3 算法生成一个固定的数据“指纹”（哈希值），接收端收到数据后再使用 SM3 重新计算并对比摘要。SM3 输出 256 位摘要值，与国际标准的 SHA-256 属于同等级别的密码哈希算法，在数据完整性校验和数字签名摘要生成方面具有极高的可靠性。
在完成身份验证与密钥协商之后，后续海量的网页 HTML、图片或接口 JSON 数据如果继续使用非对称算法加解密，会导致严重的性能瓶颈。这时就需要用到对称加密算法 SM4。
SM4 是一种分组对称加密算法，分组长度和密钥长度均为 128 位。在实际通信中，客户端和服务器利用握手阶段协商好的 SM4 会话密钥，对所有传输内容进行高速对称加解密。
需要注意的是，并不是只要部署了国密证书，所有数据就必然自动走 SM4 加密。在实际 TLS 通信中，必须要求客户端浏览器与服务器端均配置并支持对应的国密密码套件（如 ECC-SM2-SM4-CBC-SM3 或 ECC-SM2-SM4-GCM-SM3），才能成功建立起基于 SM4 的安全加密通道。
在日常业务搭建时，明确两种证书体系的技术差异至关重要：
| 对比 | 国密SSL | 普通SSL |
|---|---|---|
| 公钥算法 | SM2 | RSA/ECDSA |
| 哈希算法 | SM3 | SHA256 |
| 对称加密 | SM4 | AES |
| 浏览器支持 | 部分支持 | 全球兼容 |
| 适用场景 | 政企行业 | 普通互联网 |
由于 Chrome、Edge、Safari 等国际主流浏览器底层尚未将国密 TLCP 协议和国产 CA 根证书纳入默认信任库，如果服务器仅挂载纯国密 SM2 证书，普通用户访问时极易遇到证书不受信任的提示。排查此类报错可参考如何修复SSL证书错误？。
由于特定的场景下针对既需要通过密评检查、又需要保障公网普通用户顺畅访问的业务系统，最務实的解决方案是部署RSA+SM2 自适应双证书架构：
┌───> 国产/国密浏览器 ───> 匹配 SM2 证书 ───> 建立 TLCP 国密通道
用户访问请求 ───> 网关 ┤
└───> 国际主流浏览器 ───> 匹配 RSA 证书 ───> 建立 TLS 国际通道
在这个架构下，服务端流量网关（如 Nginx、 Envoy）会自动识别客户端的 Client Hello 报文：
当检测到支持国密协议的终端时，下发 SM2 证书；
当检测到普通浏览器时，自动下发 RSA 证书。在实际操作部署时，可以查阅怎么安装SSL证书？来理解自适应网关的证书加载逻辑，在业务切分阶段也可参考网站如何从HTTP更改为HTTPS?。
国密 SSL 证书以 SM2、SM3、SM4 算法为核心构建了完整的传输层机密性与完整性防护链。对于政企及关键信息基础设施项目而言，厘清算法分工并配合双证书自适应网关，能够稳妥实现合规验收与公网全平台平滑接入的双重目标。
不一定。
普通软件网关（如支持国密扩展的 Nginx/GmSSL）可以通过纯软件方式加载 SM2 证书并完成加解密运算。
只有在等保或密评有明确高密码安全级别要求、且需要物理保护私钥的场景下，才需要专门采购硬件密码机。
SM2 基于椭圆曲线密码学（ECC）架构设计，属于 ECC 算法的一种具体实现。
但 SM2 使用了我国国家密码管理局指定的特定椭圆曲线参数与签名椭圆算法，与国际标准的 ECDSA 曲线在数学细节和协议实现上有所区别。
因为 SM2（非对称加密）计算复杂度高、处理速度慢，只适合用来加密极小的数据（如密钥和签名）；
而 SM4（对称加密）处理速度极快，适合对海量的 HTTP 响应和业务数据进行实时加解密，三者协同才能保障传输效率。
## 什么是 PositiveSSL？ PositiveSSL 是**全球知名数字证书颁发机构（CA）Sectigo 旗下的商业 SSL/TLS 证书品牌**。 它主要面向个人开发者、中小企业以及对成本敏感的网站项目，提供低成本的 HTTPS 加密方案。 与高端企业级 SSL 产品相比，PositiveSSL 的定位更加偏向基础网站和轻量业务场景，核心特点是： * 价格较低； * 自动化签发速度快； * 支持主流浏览器和操作系统信任； * 满足普通网站 HTTPS 加密需求。 需要注意的是，PositiveSSL 与免...
查看详情## SSL证书申请平台有哪些？ 目前[申请 SSL 证书](https://www.topssl.cn/pay)主要有三种渠道： 1. **CA（证书颁发机构）官方平台** 2. **SSL证书专业服务平台** 3. **TopSSL免费证书申请平台** 不同平台的区别并不在于证书加密强度，而是在于**申请流程、技术支持、价格、售后服务以及证书管理能力**。 对于个人开发者或测试环境，自动化免费证书平台即可满足需求；对于企业官网、业务系统以及需要长期稳定维护的网站，选择专业 SSL 证书服务...
查看详情## IP地址可以申请SSL证书吗？公网IP与内网IP证书申请指南 IP 地址能不能装 SSL 证书？**能，但前提比域名证书多。** 证书绑定的对象写进 SAN 字段，这个字段既认域名也认 IP，问题出在验证环节：公网 IP 要证明控制权，内网 IP 走不了公网验证。先分清自己的场景，再决定走哪条路。 IP 地址可以申请 SSL 证书，证书的 SAN（Subject Alternative Name）扩展字段既能记录域名也能记录 IP 地址，但公网 IP 与内网 IP 的申请条件差异很大。 公网 IP 证...
查看详情## SSL证书申请需要设置邮箱白名单吗？ 不一定。 如果SSL证书申请过程中选择的是**邮箱验证（Email DCV）**，建议提前将CA机构发送邮件的地址加入邮箱白名单，否则验证邮件可能被垃圾邮件系统拦截，导致证书无法正常签发。 目前[常见SSL证书品牌](https://www.topssl.cn/ssl-buy-guide)（如 Sectigo、DigiCert、锐安信 sslTrus 等）都会通过邮件发送域名控制权验证链接。 不过，如果选择 **DNS验证（DNS CNAME/TXT验证）** 或 **HTTP文件验证**...
查看详情## 什么是SSL证书文件验证？ SSL证书文件验证，也叫 **HTTP验证（HTTP DCV）**，是SSL证书申请过程中用于确认域名所有权的一种方式。 它的原理很简单：CA机构会生成一个指定名称的验证文件，申请人需要将该文件上传到网站服务器指定目录： ``` /.well-known/pki-validation/ ``` CA随后访问该URL，检查文件内容是否匹配。 如果验证成功，CA即可确认申请人拥有该域名控制权限，并继续签发SSL证书。 文件验证的优点： * 操作简单； * 不需要修...
查看详情## 买了五年SSL证书为什么只有一年？ 这是很多用户购买SSL证书后遇到的疑问。 答案是： **五年SSL证书并不是一张有效期五年的证书，而是购买五年的证书服务周期。** 目前所有公开信任的[SSL/TLS证书](https://www.topssl.cn/what-is-ssl-certificate)，都受到浏览器和CA行业规范限制，单张证书不能一次签发多年有效。 例如购买： ``` 5年SSL证书套餐 ``` 实际可能是： ``` 第1年：签发一张有效期约1年的证书 第2年：重新签发新证书 第3年：重新...
查看详情## CA 机构的作用与工作原理是什么？ 在公共密钥基础设施（PKI）体系中，CA 机构扮演着"网络身份签证官"的角色。客户端（如浏览器）通过 HTTPS 访问服务端时，服务端出示由 CA 签发的 SSL 证书，由于主流操作系统和浏览器预置了权威 CA 的根证书，浏览器可以沿信任链逐级校验证书的数字签名是否真实有效。 CA 的核心职责有三项： 1. 身份真实性核查。签发证书前，按行业标准校验申请人对域名的控制权或企业的工商真实性。 2. 数字签名与证书下发。...
查看详情## 免费通配符SSL证书是什么？ **[免费通配符SSL证书**](https://www.topssl.cn/free)是指无需购买即可申请的**Wildcard SSL Certificate**，能够使用一张SSL证书保护同一主域名下所有一级子域名，实现HTTPS加密通信。 例如申请： > **`*.topssl.cn`** 即可同时保护： * www.topssl.cn * api.topssl.cn * mail.topssl.cn * cdn.topssl.cn * img.topssl.cn 相比普通单域名SSL证书，通配符SSL证书更适合拥有多个子域名的网站，可以显著降...
查看详情## SSL证书验证失败，是否需要配置IP白名单？ SSL证书申请过程中，如果出现**域名验证失败、文件验证无法访问、DNS验证超时**等问题，很多用户会认为需要添加CA机构的IP白名单。 实际上，**大多数SSL证书申请并不要求提前配置CA验证IP白名单**。 CA（证书颁发机构）在签发SSL证书前，需要通过域名控制验证（DCV）确认申请人拥有该域名的管理权限。不同验证方式对应不同的验证流程： | 验证方式 | 是否依赖服务器访问 | 是否可能涉及白名单配置 | ...
查看详情## 免费单域名SSL证书可以申请吗？ **可以。** 目前仍然可以[申请真正免费的单域名SSL证书](https://www.topssl.cn/free)，最常见的是 **Let's Encrypt** 提供的免费DV SSL证书。此外，部分国内CA机构也会推出免费的DV体验证书或限时产品，满足个人网站、开发测试和小型网站的HTTPS加密需求。 免费单域名SSL证书采用公开可信CA签发，与收费DV SSL证书一样能够实现HTTPS加密，浏览器访问时同样会显示安全锁标识。它与收费证书最大的区别，并不在...
查看详情## 什么是SSL/TLS？SSL和TLS有什么区别？ **SSL/TLS是一种用于保护网络通信安全的加密协议，用于在浏览器、APP或其他客户端与服务器之间建立安全连接。** 简单来说： > SSL/TLS负责“加密通信”，SSL证书负责“证明服务器身份”。 很多人把“SSL”和“SSL证书”混为一谈，但二者并不是同一个概念。 例如： * TLS协议负责加密用户访问网站的数据； * SSL证书用于证明访问的网站确实属于对应域名； * CA机构负责验证身份并签发证书。 当网站开启HTTPS后，浏...
查看详情## 域名证书是什么？为什么网站需要申请？ 域名证书一般指绑定网站域名的 SSL/TLS 证书，用于证明网站域名控制权，并在浏览器与服务器之间建立加密连接。 当网站启用 HTTPS 后，浏览器会通过 SSL/TLS 协议验证服务器身份，并对传输数据进行加密，避免用户访问过程中出现数据泄露、流量劫持等问题。 目前主流浏览器（Chrome、Edge、Safari、Firefox）都会检查网站证书状态。如果网站没有部署有效证书，用户访问时可能看到“连接不安全”“您的连接不是私...
查看详情## CFCA是什么？ CFCA（China Financial Certification Authority，中国金融认证中心）成立于1999年，是国内具有重要影响力的电子认证服务机构之一。 CFCA主要提供基于PKI（Public Key Infrastructure，公钥基础设施）的数字身份认证服务，为金融机构、政府机构、大型企业提供数字证书、电子签名、身份认证及信息安全解决方案。 在中国金融行业中，CFCA长期参与网上银行、电子支付、电子合同、移动金融等业务安全体系建设，是国内金融领域重要的数字信...
查看详情## 什么是国密CA？ 国密CA是指基于国家商用密码算法体系，为企业、机构、服务器和设备提供数字证书服务的电子认证机构。 国密 CA 可以简单理解为"国产密码体系里的证书颁发机构"：它签发的证书用 SM2、SM3、SM4 这套国密算法，服务于国内政企的密码合规需求。普通网站一般用不上，但系统要走密评、等保或国产化改造，就绕不开它。 与传统国际CA（如DigiCert、Sectigo）主要采用RSA、ECC等国际密码算法不同，国密CA主要提供基于SM2、SM3、SM4算法体系的数...
查看详情## iOS App为什么需要SSL证书？ iOS应用在访问服务器接口（API）、用户登录、支付、数据同步等场景时，需要通过HTTPS建立安全通信。 HTTPS依赖TLS协议完成数据加密，而TLS运行需要服务器部署SSL/TLS证书，用于： * 验证服务器身份； * 建立加密连接； * 防止数据被窃取或篡改。 因此： **iOS App本身不安装SSL证书，通常是App访问的服务器API域名需要部署SSL证书。** 例如： ``` iOS App | HTTPS请求 | api.example.com | SSL证书 ``` [SSL证书部署在...
查看详情## 怎么上传SSL证书？ 上传SSL证书需要根据服务器或平台类型，将证书文件、私钥文件以及中间证书链配置到正确位置。 简单来说： **SSL证书上传 = 准备证书文件 → 选择正确格式 → 配置服务器 → 重启服务 → 验证HTTPS。** 不同服务器对证书格式要求不同： | 环境 | 常用证书格式 | | --------- | ------------------ | | Nginx | PEM（.crt/.key） | | Apache | PEM（.crt/.key） | | IIS | PFX（.pfx） | | Tomcat | JKS/PFX | | CDN平台 | PEM文...
查看详情## SSL安全性主要依靠什么保障？ SSL安全性主要来自四个方面：**TLS加密协议、SSL证书身份认证、密码算法强度以及服务器安全配置**。 很多用户认为安装SSL证书后网站就一定安全，实际上SSL证书只是HTTPS安全体系中的一部分。它主要解决两个问题： * 确认访问的网站身份是否可信； * 加密客户端与服务器之间的数据传输。 真正完整的HTTPS安全，需要SSL证书与TLS协议共同工作。 例如，网站安装了有效SSL证书，但服务器仍启用旧版TLS协议、证书链配...
查看详情## 华测检测认证集团（CTI）是什么？ 华测检测认证集团（China Testing & Certification International，简称CTI）成立于2003年，是中国领先的第三方检测认证服务机构，也是国内A股上市检测认证企业（股票代码：300012）。 华测业务覆盖工业、消费品、生命科学、环境检测、电子电气等多个领域，同时参与网络安全和密码应用相关服务建设。 在数字证书领域，华测作为获得认可的电子认证服务机构，可以提供服务器数字证书服务，包括： * SSL/TLS服务器证书； ...
查看详情## SSL证书工具主要用于解决哪些问题？ SSL证书工具是网站HTTPS部署过程中常用的辅助工具，主要用于： * 生成CSR文件； * 检查SSL证书状态； * 验证证书链是否完整； * 转换证书格式； * 查询DNS验证记录； * 排查HTTPS连接错误。 在实际部署SSL证书时，很多问题并不是证书本身无效，而是由于：CSR生成错误；私钥不匹配；证书格式不正确；中间证书缺失；DNS验证失败导致浏览器提示“不安全”。 因此，选择合适的[SSL证书工具](https://www.topssl.cn...
查看详情
TopSSL是一站式SSL证书服务平台，提供免费SSL证书申请、商业SSL证书服务及HTTPS安全解决方案，支持DV、OV、EV、通配符和国密SSL证书服务。2004-2026 © 北京传诚信 版权所有 | 北京市朝阳区鹏景阁大厦16层
京公网安备11010502031690号
网站经营企业工商营业执照
