Positive SSL证书申请指南

Positive SSL证书是什么？

Positive SSL证书是由国际CA机构 Sectigo（原Comodo CA）推出的一款域名验证型（DV）SSL证书，主要面向个人网站、中小企业官网、应用系统等需要快速启用HTTPS加密的场景。

与企业验证型（OV）和扩展验证型（EV）SSL证书不同，Positive SSL只验证申请人对域名的控制权，不审核企业营业执照等组织信息，因此申请流程更快，价格也更加经济。

对于只需要实现HTTPS访问、防止数据传输被窃取的网站，Positive SSL能够提供标准的TLS加密保护。如果需要了解不同验证等级SSL证书的区别，可以参考 SSL证书类型怎么分。

如果希望了解SSL证书的基础作用，可以查看 什么是SSL证书；若想进一步对比不同品牌或免费与商业证书的区别，可以参考 免费SSL证书是什么？怎么申请？ 以及 SSL证书选购指南。

Positive SSL证书品牌背景与信任体系

Positive SSL属于 Sectigo SSL证书产品体系。

Sectigo 是全球主要数字证书颁发机构之一，其根证书已经被Windows、macOS、Android、iOS以及主流浏览器信任。Positive SSL签发的证书可以直接用于公网HTTPS部署，无需用户额外安装根证书。

从技术标准来看，Positive SSL符合CA/Browser Forum制定的SSL证书规范，支持：

• TLS 1.2 / TLS 1.3协议；
• RSA 2048位加密算法；
• ECC椭圆曲线算法；
• OCSP证书状态查询机制；
• Certificate Transparency（CT）透明日志。

对于普通网站来说，Positive SSL提供的是标准公网可信HTTPS连接。

Positive SSL证书有哪些类型？

Positive SSL主要包括以下几类产品：

需要注意的是，Positive SSL属于DV证书，不提供企业身份展示。

如果网站需要展示企业名称，提高用户信任度，可以考虑OV SSL证书；金融、支付等高安全场景则可以选择EV SSL证书。

Positive SSL证书申请流程

Positive SSL申请流程相对简单，主要包括以下几个步骤：

1. 选择证书类型

根据网站数量选择：

• 单域名SSL证书；
• 泛域名SSL证书；
• 多域名SSL证书。

例如：

www.topssl.cn

可以申请单域名证书；

如果需要保护：

www.topssl.cn

api.topssl.cn

mail.topssl.cn

则可以考虑Wildcard或Multi Domain方案。

2. 生成CSR文件

申请SSL证书前，需要生成CSR（Certificate Signing Request）。

CSR中包含：

• 域名信息；
• 企业名称（OV/EV需要）；
• 公钥信息。

同时服务器会生成对应私钥。

注意：私钥必须保存在服务器本地，不应上传给任何第三方。

3. 完成域名验证（DCV）

Positive SSL支持：

• DNS验证；
• HTTP文件验证；
• 邮箱验证。

其中DNS验证稳定性最高，尤其适合：

• CDN环境；
• 云服务器；
• 多服务器部署。

4. 下载并安装证书

签发完成后，通常会获得：

• 网站证书文件；
• 中间证书链文件。

部署时必须配置完整证书链，否则部分移动设备可能出现：“证书不受信任”等错误。

如果安装后出现HTTPS异常，可以参考：如何修复SSL证书错误？

Positive SSL适合哪些网站？

Positive SSL比较适合：

中小企业官网

企业只需要实现HTTPS加密，不要求展示企业身份。

个人网站和博客

例如：

• 内容网站；
• 技术博客；
• 展示型网站。

测试和开发环境

开发阶段需要快速启用HTTPS，可以使用DV证书进行验证。

以下场景不建议选择Positive SSL：

金融、电商支付网站

这些业务更加关注企业身份认证，建议选择OV或EV SSL证书。

政府、国企、等保项目

如果涉及密评或信创要求，需要考虑国密SSL证书方案。

Positive SSL证书部署注意事项

1. 必须配置完整证书链

很多HTTPS错误并不是证书本身问题，而是服务器缺少Intermediate CA中间证书。

特别是在：

• IIS；
• Tomcat；
• 部分移动端环境；

容易出现：NET::ERR_CERT_AUTHORITY_INVALID等错误。

2. 通配符证书需要DNS验证

Wildcard证书：*.topssl.cn

只能保护：

www.topssl.cn

api.topssl.cn

不能保护：a.api.topssl.cn

多级子域需要单独申请SAN证书。

3. 提前规划续期

虽然商业SSL证书相比免费证书管理压力较低，但CA行业正在逐步缩短证书有效期。

企业建议：

• 提前30天监控到期时间；
• 建立证书资产管理；
• 使用API实现自动提醒。

Positive SSL证书技术总结

Positive SSL作为Sectigo旗下DV SSL证书产品，优势在于申请简单、价格经济、浏览器兼容性稳定，适合大量普通网站快速部署HTTPS。

但由于其只完成域名验证，不提供企业身份认证，因此不适合作为金融、政务、大型企业核心业务系统的身份信任凭证。企业在选择SSL证书时，应根据业务安全要求，在DV、OV、EV以及国密SSL证书之间进行合理规划。

常见问题 FAQ

Q：Positive SSL证书安全吗？

A：安全。Positive SSL采用标准TLS加密技术，可以保护HTTPS通信过程中的数据安全。但它只验证域名所有权，不验证企业身份。

Q：Positive SSL和Let’s Encrypt有什么区别？

A：两者都属于DV SSL证书，但Positive SSL属于商业证书，提供商业支持、较长有效期以及CA服务体系；Let’s Encrypt免费证书主要依靠自动化续期。

Q：Positive SSL支持微信小程序吗？

A：可以。只要服务器配置公网可信证书、完整证书链，并支持TLS 1.2以上协议，一般可以满足微信小程序HTTPS接口要求。

Q：Positive SSL支持通配符域名吗？

A：支持。Positive SSL Wildcard可以保护同一级别下的多个子域名，但不能覆盖多级子域名。

Q：Positive SSL适合企业官网吗？

A：如果企业官网只是展示信息，Positive SSL可以满足HTTPS需求；如果需要体现企业身份、增强客户信任，建议选择OV SSL证书。