国密CA是什么？国产SSL证书认证机构详解

国密CA是什么？国产SSL证书认证机构详解

国密CA（商用密码认证机构），是指具备商用密码数字证书签发能力、能够签发符合国家密码标准（SM2、SM3、SM4等）的数字证书服务机构。它们主要为政务、金融、能源、医疗、运营商以及国产化信息系统提供符合国家密码管理要求的SSL证书、代码签名证书、电子签章等数字信任服务。

随着《中华人民共和国密码法》《网络安全法》《数据安全法》等法规不断推进，越来越多需要满足等保、密码应用安全性评估（密评）或信创要求的单位开始部署国密SSL证书。

什么是国密CA？

CA（Certificate Authority）即数字证书认证机构，负责验证申请主体身份，并签发受信任的数字证书。

国际互联网主要采用RSA、ECC等国际密码算法，而国密CA则采用我国商用密码体系，包括：

• SM2（非对称加密）
• SM3（摘要算法）
• SM4（对称加密）

国密CA签发的SSL证书同样用于HTTPS加密，只是采用了符合国家密码标准的算法体系。

对于需要满足国产化改造、等保、密码应用评估等项目来说，通常都会要求部署国密SSL证书。

国密CA与国际CA有什么区别？

很多用户都会问：

国密CA是不是就是国产SSL证书？

严格来说并不是。

CA代表证书认证机构，而SSL证书只是CA签发的一种产品。

目前国内网站主要存在两套体系：

国际CA体系

采用RSA、ECC算法。

例如：

• DigiCert
• Sectigo
• GeoTrust
• GlobalSign

特点：

• 全球浏览器默认信任
• 国际兼容性最好
• 适合互联网网站

国密CA体系

采用SM2/SM3/SM4算法。

主要包括：

• 华测CA（CTI）
• CFCA
• 沃通（WoTrus）
• sslTrus（锐安信）
• SHECA
• BJCA 等

特点：

• 满足国家密码标准
• 可用于国产化项目
• 适用于政务、金融、能源等行业

对于面向公众互联网的网站，很多项目都会采用RSA+SM2双证书部署方案，兼顾国际浏览器兼容性与国产化要求。

国密SSL证书适合哪些场景？

一般来说，以下项目更适合部署国密SSL证书：

政务系统

政府网站、电子政务平台、政务云通常需要满足密码应用要求，很多项目都会采用国密SSL证书。

金融行业

银行、保险、证券、支付平台等对于密码安全要求较高，越来越多系统开始支持SM2双证书部署。

能源、电力、运营商

涉及关键信息基础设施的行业，通常需要结合国产密码体系完成HTTPS加密。

信创环境

国产服务器、国产操作系统、国产数据库以及国产浏览器环境下，国密SSL证书能够更好地满足整体兼容需求。

国密SSL证书是否兼容普通浏览器？

这是很多用户最关心的问题。

答案是：需要根据部署方式判断。

如果部署的是：

• 纯SM2证书

则只有支持国密算法并信任对应国密根证书的浏览器才能正常建立HTTPS连接。

如果部署的是：

• RSA+SM2双证书

服务器会根据客户端能力自动协商：

• 普通浏览器使用RSA证书；
• 支持国密算法的浏览器使用SM2证书。

这种部署方式目前也是大多数政务、金融和信创项目采用的方案，能够兼顾兼容性与合规要求。

如何选择国密CA？

选择国密CA时，可以重点关注以下几个方面：

如果只是普通企业官网，一般国际RSA证书即可满足需求。

如果涉及：

• 等保三级
• 密码应用评估
• 信创改造
• 政务项目
• 金融行业

则建议提前确认是否需要部署国密SSL证书。

国密CA常见品牌

目前市场上较常见的国密CA品牌包括：

• 华测（CTI）
• CFCA
• 沃通（WoTrus）
• sslTrus（锐安信）
• SHECA
• BJCA

不同品牌在支持的证书类型、国产浏览器兼容情况、项目认证要求及售后服务方面会有所区别，可根据实际业务需求选择。

常见问题

国密CA和普通CA有什么区别？

最大的区别在于采用的密码算法不同。

普通CA主要使用RSA、ECC算法；国密CA主要采用SM2、SM3、SM4等国家商用密码算法，适用于国产化及密码合规场景。

国密SSL证书可以用于互联网网站吗？

可以。

目前很多网站采用RSA+SM2双证书部署方式，同时兼顾普通浏览器和支持国密算法的终端访问体验。

国密SSL证书是否影响SEO？

不会。

搜索引擎关注的是网站是否正确部署HTTPS，而不是具体使用RSA还是SM2算法。只要浏览器能够正常建立HTTPS连接，并保证证书链完整、页面不存在混合内容，就不会因为使用国密SSL证书而影响搜索引擎抓取。