Certum SSL证书是什么？

Certum SSL证书是什么？波兰老牌CA的全球信任实践

Certum是欧洲历史悠久、规模庞大的认证中心之一，自2002年起通过WebTrust国际审计，成为中欧首个获此资质的CA机构。其SSL证书被Chrome、Firefox、Safari及主流移动平台原生信任，适合企业官网、跨境电商平台及金融业务系统选择。

企业在选择商业SSL证书时，需要根据品牌知名度、访问群体及验证等级进行综合判断。不同验证级别的区别，可以参考 SSL证书类型怎么分。

一、Certum技术背景与根信任机制

Certum隶属于欧洲知名软件厂商Asseco集团，服务覆盖全球多个国家，广泛应用于央行系统、大型电商与政务云平台。

1. 根证书信任链结构

Certum的根证书已入根主流浏览器与操作系统信任库，支持TLS 1.3协议及PFS前向保密。其部分证书链支持双路径信任锚设计，能够在老旧操作系统或特定国产环境上保持较好的兼容性。

2. OCSP Stapling与握手优化

Certum全系商业证书默认支持并推荐开启 OCSP Stapling，使Web服务器能够直接向客户端提供缓存的吊销状态响应，省去了浏览器实时访问CA节点查询的开销，从而降低TLS握手延迟。

二、Certum SSL证书有哪些类型？

根据验证深度和适用形态，Certum主要提供以下几类标准产品：

需要注意的是，Certum DV证书不支持文件（File）验证方式，必须通过DNS TXT记录或指定的标准管理员邮箱完成验证，这是CA/B Forum的标准约束。

三、Certum SSL证书适合哪些场景？

跨境电商与海外出海业务

Certum作为欧洲本土的老牌CA，在欧洲及海外地区具有较高的品牌认可度与合规信誉，适合面向海外访客或跨国业务的独立站与企业官网。

欧标合规与金融级系统

对于需要满足欧盟GDPR及高安全标准审计的海外分支机构或合规系统，Certum OV/EV证书能够提供严格的组织身份证明与可靠的密码学保障。

四、Certum SSL证书部署与运维注意事项

1. 必须完整配置中间证书

在Nginx、Apache等服务器部署Certum证书时，必须将站点证书与对应的中间CA证书合并配置。若缺少中间证书，部分客户端或移动端可能触发 NET::ERR_CERT_AUTHORITY_INVALID 错误。如果遇到此类信任异常，可以参考 如何修复SSL证书错误？ 的排查指南。

2. 签发限制与私钥安全

• 不支持公网IP：Certum规范限制了纯IP地址的商业证书签发，内网或IP访问需寻找特定合规替代方案。
• 私钥离线生成：生成CSR及私钥时必须在安全环境中进行，严禁泄露或上传至不受信任的第三方平台。
• 部署规范：具体安装步骤可参考 SSL证书安装与部署 指南进行标准化落地。

五、Certum证书与免费SSL证书有什么区别？

企业选择Certum等商业SSL证书，不仅是为了解决基础的HTTPS加密问题，更在于获取企业身份背书、更长的有效管理周期及完善的售后技术支持。

• 免费证书：通常仅提供基础DV验证，生命周期较短（如90天），适合个人或测试项目。
• Certum商业证书：提供DV、OV、EV多层级身份验证，更适合企业生产环境，能够有效提升访客的品牌信任度。关于免费证书的适用边界，可参阅 免费SSL证书是什么？怎么申请？。

关于Certum SSL证书的技术总结

Certum SSL证书依托欧洲老牌CA的技术沉淀与WebTrust审计背书，为企业构建安全、合规的HTTPS加密通道提供了可靠选择。在实际落地中，技术人员应根据业务出海需求选择合适的验证等级，并在Nginx/Apache中严格落实完整证书链配置，确保全平台访问的稳定性。

常见问题 FAQ

Q：Certum DV证书支持哪些域名验证方式？

A：Certum DV证书仅支持DNS TXT记录验证和标准管理员邮箱（如admin@、webmaster@等）验证，不开放文件（File）验证选项。

Q：为什么部署Certum证书后部分安卓设备显示不受信任？

A：这通常是因为服务器未配置完整的中间证书。Certum在部分旧版安卓系统中需要显式加载中间CA，建议使用SSL检查工具确认证书链完整性。

Q：Certum证书支持保护公网IP地址吗？

A：不支持。Certum全系SSL证书仅支持标准域名及通配符形态，无法为纯IP地址直接签发公网可信证书。