免费SSL证书的特点及注意事项
免费SSL证书可实现基础HTTPS加密，满足个人博客、测试环境及小型网站的安全需求。其核心价值在于零成本快速启用TLS 1.2/1.3加密通道，但必须清醒认知：它不等于“永久可用”或“无运维负担”。当前主流免费证书（如Let’s Encrypt、锐安信sslTrus）默认有效期仅90天，需依赖自动化工具（如acme.sh）完成续签，否则将触发浏览器“您的连接不是私密连接”警告。
该限制源于CA/B Forum Baseline Requirements强制要求——自2020年起所有公开信任的TLS证书最长有效期不得超过398天，而行业实际执行已普遍压缩至90天。这不是技术缺陷，而是安全策略：缩短生命周期可大幅降低私钥泄露、中间人攻击与证书滥用风险。TopSSL平台提供的免费ssl申请服务即遵循此规范，支持DV验证、自动DNS/HTTP验证，但不提供OV/EV身份背书。
核心技术机制
证书验证方式严格受限
免费SSL证书仅支持域名验证（DV），即通过DNS TXT记录、HTTP文件放置或TLS-ALPN方式证明域名控制权。它不校验企业注册信息、不进行人工电话核验，因此无法在地址栏显示绿色公司名称（EV）或组织单位（OV）。例如，为shop.example.com申请免费证书时，若未同步验证www.example.com，则后者访问将触发NET::ERR_CERT_COMMON_NAME_INVALID错误——这是部署中最常见的疏漏。
证书链完整性依赖手动维护
部分免费CA（如早期Let’s Encrypt）采用交叉签名链，若服务器未正确配置中间证书（Intermediate CA），会导致Android 7.0以下、Windows Server 2008 R2等旧系统提示“证书不受信任”。TopSSL提供SSL证书链下载工具，可一键获取适配各系统的完整链文件。真实运维中，曾有客户因Nginx未配置ssl_trusted_certificate指令，导致37%的移动端用户无法建立HTTPS连接。
工程实践与部署经验
| - | 参考标准 | TopSSL专家建议 |
|---|---|---|
| 有效期管理 | CA/B Forum BR §6.3.2：DV证书最长90天 | 禁用手工续签；必须集成cron+acme.sh或使用TopSSL控制台自动续期服务，避免凌晨证书过期引发业务中断 |
| 兼容性保障 | RFC 8555（ACME协议）要求客户端支持SNI | 老旧负载均衡器（如F5 BIG-IP v11.x）需升级TLS模块；IIS服务器必须启用TLS 1.2且禁用SSL 3.0 |
| 功能边界 | 无通配符二级子域支持（如*.dev.example.com） | 若需保护多级子域名，应选用通配符SSL证书而非叠加多个免费证书 |
值得注意的是，免费证书不支持国密SM2算法。国内政务、金融类系统若需满足等保三级或密码法合规，必须选用国密SSL证书——其根证书由华测、CFCA等国产CA签发，且需搭配国密浏览器（如红莲花）或专用中间件。TopSSL已支持沃通、锐安信等品牌的SM2双证书部署方案。
常见问题
Q：免费SSL证书能用于企业官网吗？
A：技术上可行，但存在信任短板：无组织身份展示、无漏洞赔付保障、不支持多域名统一管理。TopSSL建议企业官网选用OV SSL证书，验证成本可控且提升用户转化率。
Q：申请后证书显示“Not Secure”怎么办？
A：立即检查三项：① 是否所有资源（CSS/JS/图片）均改为HTTPS加载；② 服务器是否返回完整证书链；③ 网站HTTP到HTTPS重定向是否配置（推荐HSTS头）。
Q：能否将免费证书安装到阿里云SLB或腾讯云CLB？
A：可以，但公有云负载均衡器要求上传PEM格式证书+私钥，且部分型号不支持自动续签。建议使用TopSSLSSL证书格式转换工具生成兼容格式。
京公网安备11010502031690号
网站经营企业工商营业执照
