密评合规证书是什么？

密评合规证书是什么？国密SSL证书选型、品牌对比与密评指南

密评合规证书特指通过国家密码管理局认证、支持SM2/SM3/SM4算法的国密SSL证书。 密评合规证书一般指在商用密码应用安全性评估过程中，用于满足网络和通信安全要求的国密 SSL/TLS 证书方案。它并不是单独的认证类别，而是信息系统密码应用建设中的一个组成部分。在涉及国密算法要求的系统改造中，企业需要在协议栈、服务器网关以及客户端接入层实现国密算法的兼容与验证。

对于正在规划信创改造、政企系统升级或准备迎接密评的团队，如果需要了解证书的基础加密逻辑，可以先阅读 什么是SSL证书 的底层原理；对不同验证等级的展示区别有疑问，可以参考 SSL证书类型怎么分 的划分说明。

一、密评为什么关注 SSL 证书？

在信息系统密码应用安全性评估过程中，测评机构会重点关注网络通信过程中是否采用了符合要求的密码技术。

传统 HTTPS 网站通常使用基于 RSA/ECC 国际算法的公网证书完成身份认证和数据加密。然而，对于需要满足国密算法要求的信息系统，仅部署基于 RSA/ECC 国际算法的证书，通常无法满足网络和通信安全层的国密算法应用要求。

因此，支持 SM2、SM3、SM4 算法的国密 SSL 证书，成为了政企系统进行密码应用改造的重要组成部分。

二、密评制度与国密 SSL 证书的技术关联

根据 GB/T 39786-2021《信息系统密码应用基本要求》，在网络和通信安全层，跨网络访问的通信信道需要采用商用密码技术保障传输的机密性与完整性。

1. 算法与信任体系要求：在需要进行国密改造的系统中，国密 SSL 证书通过 SM2 非对称加密算法实现身份鉴权与密钥交换，SM3 散列算法保障证书签名摘要防篡改，SM4 等对称密码算法用于 TLS 会话阶段的数据加密，保障通信内容机密性。
2. 接入层协同校验：实际部署时主要关注三个方面：证书本身的签发合规性、客户端与服务器端签名验签流程的正确性，以及数据加密传输的有效性。在实际工程中，国密证书通常需要配合国密 Web 关口设备或支持 SM2 模块的中间件部署，以满足测评过程中的证书、算法和链路验证要求。

三、主流国密 SSL 证书品牌与选型建议

在进行密评改造采购时，企业可以根据系统架构、信创生态适配以及预算选择合适的国产 CA 品牌：

如果需要了解更多商业品牌与国产品牌的综合对比，可查阅 SSL证书选购指南 的推荐逻辑。

四、工程部署中的核心规范与注意事项

1. 证书链的完整性配置

在密评现场核验阶段，测评人员通常会抓包校验 TLS 握手过程。如果服务器返回的证书链缺失 SM2 根证书或中间证书，会被认定为信任链不完整。部署时，运维人员需确保将站点 SM2 证书与对应的国密中间证书按规范合并，生成正确的链文件。

若部署后遇到浏览器弹窗警示，可以参考 如何修复SSL证书错误？ 的定位方法逐一排除路径故障。

2. SM2/RSA 单 IP 双证书网关策略

由于 Chrome、Safari 等国际通用浏览器默认不原生支持 SM2 算法，如果网站直接强制仅开启 SM2 协议，普通公众用户访问时会触发报错。

务实的做法是在网关层（如 Nginx 或专有负载均衡）配置单 IP 双证书架构：当国密浏览器（如红莲花、360 国密版等）访问时，协商发起 SM2 TLS 握手；当普通国际浏览器访问时，自动降级切换至 RSA TLS 握手。这样既能保证密评测评时国密链路符合要求，又能保障普通用户的顺畅访问。

3. 明文混合内容（Mixed Content）处理

即便国密 SSL 证书配置无误，如果 HTTPS 页面中仍然嵌入了 HTTP 协议的静态资源（如脚本、图片或样式表），测评时会被认定为传输完整性存在风险。在上线前，运维人员应统一清理明文链接，或在网关处配置安全策略头强制将不安全请求提升至 HTTPS。

在研发联调与环境搭建阶段，如果需要验证 Web 网关的 HTTPS 跳转或双证书协同逻辑，可以先了解 免费SSL证书是什么？怎么申请？ 进行沙盒测试，待方案验证完成后再平滑替换为国密 OV 证书。

对明文站点整体升级有需求的团队，可遵循 网站如何从HTTP更改为HTTPS? 的标准迁移流程。

关于密评合规证书的技术总结

密评合规证书并不是简单地购买或替换一张证书，而是一套涉及证书、服务器、网关与密码设备的改造流程。在实际推进密评改造时，企业应结合系统等级、行业要求以及测评方案，选择合适的国产 CA 品牌与 SM2/RSA 双证书网关部署模式，在满足商用密码评估要求的同时，保障业务系统的稳定运行与用户体验。

常见问题 FAQ

Q：密评要求 SSL 证书必须使用国产 CA 吗？

A：不一定。密评重点关注密码算法、密码产品和应用方案是否符合相关要求。对于需要采用国密算法的信息系统，一般需要使用支持 SM2 等国密算法的证书体系，实际选型还需要结合系统等级、行业要求以及测评方案综合确定。

Q：已有 RSA 证书，能否直接升级或转换为国密 SM2 证书？

A：不能直接转换。SM2 与 RSA 属于不同的非对称密码体系。企业需要重新生成 SM2 算法的密钥对与 CSR（证书签名请求），并提交给支持国密签发的 CA 机构，完成域名控制权与组织身份审核后重新签发。

Q：国密 SSL 证书能够直接兼容 Chrome 或 Safari 浏览器吗？

A：不能直接原生兼容。国际通用浏览器目前未将国密 SM2 根证书默认预置于系统根信任库中。要实现全网兼容，通常采用“SM2/RSA 双证书网关”方案，对支持国密的浏览器响应 SM2 加密，对通用浏览器响应 RSA 加密。