国密SSL证书与国际证书是否可以并存？-TopSSL

国密SSL证书与国际证书是否可以并存？

可以，并存是当前主流国密改造方案的典型部署模式。技术上，国密SSL证书（基于SM2算法、SM3哈希、SM4加密）与国际标准证书（RSA/ECC + SHA256/AES）互不冲突，二者通过 TLS 协议层的「密码套件协商（Cipher Suite Negotiation）」机制实现客户端分流：支持国密的浏览器（如红莲花、360国密版、奇安信可信浏览器）优先协商 TLCP 或 SM2-SM4-SM3 套件；国际浏览器（Chrome/Firefox/Safari）则回退至 ECDHE-RSA-AES128-GCM-SHA256 等国际套件。

实际部署中，需在 Web 服务器（如 Nginx、Apache、OpenResty）或负载均衡器（如 F5、Nginx Plus）上同时配置两套证书和私钥，并启用双协议栈（TLS 1.2/1.3 + TLCP）。例如 Nginx 可通过 ssl_certificate 和 ssl_certificate_key 指令分别加载国际证书与国密证书，再借助 ssl_ciphers 显式声明支持的套件列表（含 GM-SM2-SM4-SM3 与 ECDHE-ECDSA-AES128-GCM-SHA256 等）。服务器需编译支持国密的 OpenSSL 分支（如 BabaSSL、Tongsuo）或使用国密增强版中间件。

需要注意的情况

客户端兼容性依赖终端环境：普通 Chrome 浏览器无法识别国密套件，必须通过国密浏览器或插件（如国密SSL助手）触发协商，否则自动降级为国际链路。
证书链不可混用：国密证书必须由具备国密SSL证书签发资质的 CA（如华测国密CA、vTrus(天威诚信)、CFCA）签发，其根证书需预置在国密浏览器信任库中；国际证书链仍需遵循 WebPKI 体系（如 Digicert、Sectigo），两者信任锚不同，不可交叉验证。
HTTP/2 与 QUIC 支持受限：当前国密 TLS 实现普遍未完全适配 HTTP/2 的 ALPN 协商及 QUIC 的加密握手，若业务强依赖这些特性，建议国际链路保持 HTTP/2，国密链路暂以 HTTP/1.1 为主。
监控与日志需区分：建议通过 TLS 扩展中的 signature_algorithms 或自定义日志字段（如 $ssl_cipher）标记会话使用的证书类型，便于安全审计与性能分析。