什么是PositiveSSL？
PositiveSSL 是 Sectigo（原 Comodo CA）旗下高性价比的入门级 SSL 证书品牌，专为博客、个人网站、中小企业官网及测试环境设计。它提供符合行业标准的 RSA 2048 / ECC 加密强度，支持 TLS 1.2 和 TLS 1.3 协议，在全球主流浏览器与移动设备中兼容性达 99.9%。其核心优势在于“分钟级自动签发”——完成域名所有权验证后，通常 3–5 分钟内即可获取证书，无需人工审核。
作为通过 WebTrust 国际审计认证的商业 CA，Sectigo 每年签发超千万张证书，PositiveSSL 继承其根信任体系，所有证书均锚定于 Sectigo 的受信根证书（如 USERTrust RSA Certification Authority），可直接被 Chrome、Firefox、Safari、Edge 及 Android/iOS 系统识别，无需额外配置中间证书链。但需注意：部署时必须完整安装证书链，否则在部分旧版 Windows Server 或嵌入式设备上可能触发 ERR_CERT_AUTHORITY_INVALID 报错。
TLS 协议工作机制
PositiveSSL 本身不定义协议，而是为 TLS 握手提供身份凭证。当用户访问启用 PositiveSSL 的网站时，服务器在 TLS 1.2/1.3 握手阶段提交该证书；客户端校验签名有效性、有效期、域名匹配性及证书链完整性。若全部通过，双方协商生成会话密钥，后续 HTTP 流量即通过 AES-256-GCM 或 ChaCha20-Poly1305 加密传输。该机制确保 HTTPS 加密不可篡改、不可抵赖。
工程实践中发现：部分 Nginx 配置未启用 OCSP Stapling，或未配置 modern cipher suite（如禁用 TLS 1.0/1.1），会导致 Chrome 120+ 提示“连接不安全”。建议使用 SSL证书检查工具 扫描全链配置，并参考 TLS握手过程详解 优化服务端策略。
CA 信任链结构
PositiveSSL 采用三级信任链结构：Root CA（Sectigo）→ Intermediate CA（USERTrust RSA）→ End-entity Certificate（您的域名证书）。这种设计既保障安全性，又便于吊销管理。例如，若某批次证书私钥泄露，Sectigo 可仅吊销对应 Intermediate 证书，不影响其他客户。浏览器内置的 Root 证书列表决定了是否信任整个链条——这也是为什么 PositiveSSL 在国产操作系统（如统信UOS、麒麟V10）中默认受信，但需确认系统已同步最新 CA 存储库。
值得注意的是：自 2024 年起，Sectigo 已逐步停用旧版 COMODO RSA 中间证书，全面切换至更安全的 USERTrust 根体系。若您仍在使用 2022 年前签发的 PositiveSSL 证书，建议尽快续订并下载新版证书链，避免因中间证书过期导致信任中断。
SSL证书部署限制
PositiveSSL 属于 DV（域名验证型）证书，仅校验域名控制权，不验证企业资质。因此它不适用于金融、政务、电商平台等需展示组织名称的场景——这类需求应选择 OV SSL证书 或 EV SSL证书。此外，单域名 PositiveSSL 不支持通配符，若需保护 www.example.com 和 mail.example.com，必须选用 PositiveSSL通配符DV SSL证书 或 多域名证书。
另一项关键限制：PositiveSSL 不支持证书密钥导出为 PFX/P12 格式（部分 Windows IIS 环境需此格式）。如遇此问题，可通过 SSL证书格式转换工具 将 PEM + KEY 合并生成，或改用 Sectigo 品牌主站签发的同类型证书。
常见问题
Q：PositiveSSL 和 Sectigo SSL 有什么区别？
A：PositiveSSL 是 Sectigo 推出的子品牌，技术底层完全一致，仅在命名、定价策略和目标客群上区分。两者共享同一根证书和验证体系，部署效果无差异。
Q：PositiveSSL 支持国密 SM2 算法吗？
A：不支持。PositiveSSL 仅提供 RSA/ECC 算法证书。如需国密合规，应选择 国密SSL证书，例如锐安信、华测或沃通提供的 SM2 双证书方案。
Q：能否将 PositiveSSL 用于微信小程序后台域名？
A：可以，但需确保小程序服务器配置了完整的证书链，且 TLS 版本不低于 1.2。微信基础库 2.21.0+ 已强制要求 SNI 支持，部署时请启用 Server Name Indication。
京公网安备11010502031690号
网站经营企业工商营业执照
