自签SSL证书有风险吗？

自签SSL证书存在明确且不可绕过的信任链风险

自签证书（Self-Signed Certificate）由实体自身生成并签名，未经过任何受信任的证书颁发机构（CA）背书，因此在标准 TLS 握手中无法通过浏览器或操作系统的根证书信任库验证。其核心风险不在于加密强度不足（密钥长度与算法可合规），而在于**缺失可信第三方验证与吊销机制**，导致终端设备默认拒绝建立安全连接，并向用户展示显著的“不安全”警告。该行为符合 RFC 5280 关于证书路径验证的要求，亦被 Chrome、Firefox、Safari 及 Android WebView 等所有主流客户端严格执行。

该风险在生产环境具有强制性约束力：任何面向公众的 HTTPS 服务若使用自签证书，将直接导致用户访问中断、SEO 排名降权、API 调用失败（尤其在 Java、iOS NSURLSession 或现代 WebView 中因 strict certificate pinning 被拦截），且无法通过客户端配置静默绕过（除极少数测试场景启用 --ignore-certificate-errors）。

自签证书仅适用于封闭测试环境、内部 CLI 工具通信、或作为私有 PKI 的根/中间 CA 私钥签名起点，但此时必须配套部署私有根证书至所有目标客户端的信任存储，并建立 OCSP/CRL 吊销基础设施——这已超出“自签”范畴，进入企业级 PKI 运维层级。

自签证书不具备任何浏览器兼容性保障，也不满足 CA/B Forum Baseline Requirements 第 9.1 条关于公开信任证书的签发前提。

典型风险场景不可缓解

- 移动端 WebView 加载失败（Android 7+ 默认禁用不信任证书） - iOS ATS（App Transport Security）策略强制拒绝 - Java 应用中 TrustManager 默认拒绝未锚定至 cacerts 的证书 - 自动化工具（curl、wget、Postman）需显式添加 -k 参数，违反最小权限原则

替代方案优先级排序

生产环境应优先采用经 WebTrust 认证的公共 CA 签发的证书；测试环境可选用 免费ssl证书（如 Let's Encrypt），其具备完整信任链、自动化续期能力与广泛客户端兼容性；高安全内网场景建议部署私有 CA 并统一分发根证书，而非使用孤立自签证书。

维度	参考标准	工程师建议
信任锚点	RFC 5280 §6.1	必须锚定至操作系统/浏览器预置根证书库
吊销检查	BR §4.9.10	自签证书无 OCSP 响应器或 CRL 分发点，无法执行吊销验证
证书生命周期管理	BR §4.2.1	缺乏自动轮换、密钥轮替与审计日志支持

常见问题

Q：开发时用自签证书做 HTTPS 测试是否安全？ A：仅限本地回环（127.0.0.1）且关闭外部网络暴露的调试场景；必须禁用证书校验的代码不得进入任何构建分支，否则构成严重安全漏洞。

Q：能否把自签证书加入系统信任库解决风险？
A：技术上可行，但违背最小信任原则，且无法规模化部署至用户终端，不适用于任何对外服务。

Q：自签证书和 DV SSL证书 的区别是什么？
A：DV 证书由公共 CA 验证域名控制权后签发，具备完整信任链、CRL/OCSP 支持及浏览器内置信任；自签证书无第三方验证、无吊销通道、无跨平台信任基础。