国产SSL证书有哪些？企业网站该如何选择？
国产SSL证书是由中国本土CA机构签发、符合《密码法》及GM/T系列国密标准的数字证书，支持SM2/SM3/SM4算法，已深度集成于360安全浏览器、奇安信可信浏览器、红莲花、赢达信速龙等国密浏览器。在政务、金融、央企及关键信息基础设施领域，国产SSL证书已成为强制合规选项，而非可选配置。
当前主流国产CA包括锐安信（sslTrus）、CFCA、沃通（WoTrus）、华测（CTI）和上海CA（SHECA），均具备工信部电子认证服务许可证及WebTrust国际认证资质。它们不仅提供RSA国际算法兼容证书，更全面支持国密双算法证书（RSA+SM2），满足“平滑过渡、双轨并行”的国产化改造要求。
国产SSL证书的技术机制
信任链结构与根证书预置
国产SSL证书的信任链起点为国内CA自建的根证书（Root CA），如锐安信Domestic Root、CFCA SM2 Root或华测SM2 Root。这些根证书已预置在国产操作系统（麒麟、统信UOS）、政务云平台及主流国密浏览器中，无需用户手动导入即可实现自动信任。而国际CA（如DigiCert、Sectigo）的根证书未预置于上述环境，导致其签发的证书在国产终端上显示“不受信任”警告。
国密算法与双证书部署
纯国密证书仅使用SM2公钥加密与SM3哈希，但因Chrome/Firefox/Safari暂不原生支持，实际生产环境普遍采用“RSA+SM2双证书”方案：一台服务器同时部署两套证书，由客户端TLS协议协商自动选择——国际浏览器走RSA链，国密浏览器走SM2链。该方案已在多地省级政务服务平台、央行分支机构系统中稳定运行超3年。
验证方式与适用场景
DV型国产SSL证书（如锐安信DV SM2）适用于静态官网、内部测试系统，5分钟内自动签发；OV型（如锐安信OV SM2）需人工核验企业营业执照与域名所有权，适用于政务门户、银行网银、招投标平台等需身份强认证场景。EV型目前尚未开放国密EV，但CFCA与锐安信已启动试点。
国产SSL证书部署实践
部署国产SSL证书存在两个典型工程约束：一是部分老旧中间件（如WebLogic 10.3.6、IBM HTTP Server 8.5）默认禁用SM2套件，需手动启用TLS_ECDHE_SM2_WITH_SM4_SM3；二是Nginx需编译OpenSSL 1.1.1f+国密补丁版本，否则无法加载SM2私钥。我们曾为某省社保平台升级时发现，其负载均衡设备F5 BIG-IP 14.1需升级至15.1.2才支持SM2证书链校验。
真实运维经验表明：在混合云架构中，建议将国密证书部署于前端政务云节点，国际证书保留在后端公有云API网关，通过HTTP Header透传客户端算法偏好，避免全链路国密改造带来的兼容性风险。
| - | 参考标准 | TopSSL专家建议 |
|---|---|---|
| 算法支持 | RFC 8998（SM2/SM3/SM4 TLS 1.3） | 生产环境优先选用双算法证书，单算法仅限封闭内网 |
| 浏览器兼容 | GB/T 32918.2-2016 | 对外服务必须验证360/奇安信/红莲花三端显示绿锁 |
| 证书有效期 | CA/B Forum Baseline Requirements v2.8 | 国产根证书最长3年，但SM2子证书建议1年一换以降低吊销风险 |
常见问题
Q：国产SSL证书能在Chrome中正常显示绿锁吗？
A：不能。Chrome、Firefox、Edge等国际浏览器尚未原生支持SM2算法，需依赖插件或国密SSL代理网关实现兼容，实际部署中推荐双证书策略。
Q：已购买国际品牌SSL证书，能否直接替换为国产证书？
A：可以，但需重新生成CSR（使用SM2密钥对），并确保服务器软件、中间件、负载均衡设备均支持国密算法套件，建议先在测试环境完成全链路验证。
Q：国产SSL证书是否影响SEO？
A：不影响。Google与百度均将HTTPS作为排名信号，无论RSA或SM2，只要实现有效TLS加密且无混合内容，SEO权重一致。但未适配国密的政务网站可能在国产搜索引擎（如360搜索）中降权。
京公网安备11010502031690号
网站经营企业工商营业执照
