SSL证书怎么购买？
买 SSL 证书之前，先看两个东西：你要保护几个域名，以及这些域名是不是属于同一个主域名。
如果只是一个网站，单域名 DV 证书就够了；如果有多个子域名，可以考虑通配符；如果同时有 a.com、b.cn 这类不同域名，则需要多域名证书。购买前最需要确认的是证书覆盖范围，买错域名类型，后面即使证书签发成功，也没法直接保护新增加的域名。
如果对具体产品预算有疑问，可以参考 SSL证书价格 说明或查看 SSL证书选购指南。
一、购买前要确定什么？
先看域名，再看证书类型。
1. 域名范围（最容易买错的地方）
- 单域名：保护一个指定的完整域名（如
www.example.com）。至于是否同时覆盖example.com和www.example.com，要看具体产品的 SAN 配置和 CA 规则，购买前应确认产品说明。 - 通配符（Wildcard：覆盖同一主域名下的多个一级子域名，例如
api.example.com、mail.example.com和shop.example.com。后续新增同级子域名时，不需要重新签发证书，但仍需按照证书有效期进行续期。需要注意，通配符无法直接保护二级子域名或跨主域名的站点。 - 多域名（SAN：同时保护多个完全不同的域名（如
example.com和another.org）。
2. 验证级别（DV、OV、EV）
DV、OV、EV 的主要区别在于身份验证深度，而不是 HTTPS 加密强度。只要 TLS 配置正确，DV 和 OV 在数据传输上的安全等级完全一样。
- DV（域名型：只验证域名控制权，签发最快，几分钟即可搞定。个人网站、测试环境和普通企业官网大多选 DV 就可以。
- OV / EV（企业型/扩展型：除了域名，还要核验营业执照和企业真实电话，可以在证书详情里展示经过认证的公司名称。适合电子商务、金融政企和注重合规的业务系统。
如果需要了解各类证书的定义，可以参阅 什么是SSL证书？。
SSL 证书怎么买？
实际下单到证书拿到手，流程主要分为五步：
- 提交订单：在 TopSSL 平台选择对应型号（单域名、多域名或通配符），完成支付。
- 提交域名与 CSR：填入需要保护的域名，并提交 CSR（证书签名请求）。可以在服务器本地通过 OpenSSL 生成，也可以在控制台在线生成。在线生成时系统会自动提供私钥供下载保存。
- 需要注意的是：CA 签发后回传的证书包只包含公钥证书和中间证书链，绝不会包含私钥。私钥属于核心安全数据，必须由申请者自己保存。
- 完成域名控制权验证：选择适合自己的验证方式。
DNS 验证：在域名解析后台添加一条指定的 TXT 解析记录，核心是 TXT 记录正确生效； 文件验证：在网站根目录创建指定路径并上传校验文件，核心是公网可以通过 80/443 端口正常访问该文件； 邮箱验证：通过域名联系人等指定邮箱接收验证邮件。
- 企业身份核验（仅限 OV/EV：如果买的是企业级证书，CA 机构会通过第三方权威渠道或官方黄页进行电话人工核验。
- 下载证书：验证通过后，证书状态更新为“已签发”。登录控制台下载对应 Web 服务环境（Nginx、Apache、IIS、Tomcat 等）的证书安装包。
SSL 证书买完怎么配置？
拿到证书后，部署到服务器或云平台时关注两个点：
1. 保证证书链完整
解压下载的证书包，里面包含了站点证书和中间证书链（CA Bundle）。在服务器上配置时必须把中间证书链一并装上，否则在移动端或部分浏览器访问时可能会提示证书不信任。遇到配置报错，可以参考 修复SSL证书错误 进行定位。
2. 部署到对应节点
- 如果是自行管理的服务器（如 Nginx 或 Apache），修改配置文件把证书公钥和私钥路径挂载上去；
- 如果使用云厂商的负载均衡（SLB）、CDN 或宝塔面板，直接在证书管理界面把公钥和私钥文本粘贴进去即可。
具体服务器与面板的配置命令和操作界面，可以参考 怎么安装SSL证书。
常见问题 FAQ
Q：SSL 证书购买后一次可以买几年？
A： 公开信任的 TLS/SSL 服务器证书单次签发有效期受到 CA/B Forum 行业规则限制，具体最长有效期会随着国际标准和 CA 当前签发规则进行调整。目前主流方式是在平台一次性订阅多年期服务，到期前由平台提醒并安排重新签发与续期。
Q：单域名证书后续可以改成通配符证书吗？
A： 已经签发的证书无法直接修改结构类型。如果后续业务扩展产生了大量的子域名保护需求，需要重新购买通配符证书并完成签发部署。
Q：域名还没有完成 ICP 备案，可以先购买 SSL 证书吗？
A： 可以。SSL 证书的签发只取决于域名控制权校验，与国内 ICP 备案流程没有直接关系。不过如果服务器部署在中国大陆境内，网站上线提供 HTTP/HTTPS 服务依然需要遵守工信部的备案要求，否则机房可能会拦截端口访问。
Q：验证域名所有权时，DNS 验证和文件验证哪个更好？
A： 两种方式在安全性与签发速度上没有本质区别。如果有域名解析后台权限，推荐 DNS 验证，不需要动服务器文件；如果网站已经建好且公网访问正常，文件验证同样方便。可以借助 SSL证书工具 检测 DNS 记录的生效状态。
京公网安备11010502031690号
网站经营企业工商营业执照
