SHECA 国密企业型SSL证书

SHECA（上海CA）国密企业型（OV）SSL证书是一款由上海市数字证书认证中心签发，专门针对国内政企、金融、教育等对国产密码算法有合规要求的机构设计的服务器证书。

这款证书是专为信创环境设计的数字身份证。它最大的意义在于通过了国家密码管理局的核准，使用的是全套国产密码算法（SM2/SM3/SM4），是企业通过“密评”（商用密码应用安全性评估）的关键组件。

该证书最大的特点是采用了国产密码算法（国密），符合国家密码管理局的相关标准。

• 采用SM2公钥算法体系（基于椭圆曲线密码学），其256位密钥强度的安全性等同于国际通用的3072位RSA算法。
• 使用SM3杂凑算法，确保数据的完整性。
• 配合SM4算法进行传输数据的批量加密。
• OV（Organization Validation）级。除了验证域名所有权，还会对申请企业的合法身份进行真实性人工审核。

SHECA 国密企业型SSL证书于传统OV证书的技术规格对比

由于全球通用的浏览器（如Chrome）目前默认不识别国密证书，SHECA通常配合双证书部署使用：

1.当政务内网或特定国密浏览器访问时，证书握手走SM2通道，满足合规审计。

2.当普通外网用户访问时，服务器自动切换到RSA证书，保证网站不报“连接不安全”。

SHECA 国密企业型SSL证书适用那些单位

• 金融机构如网银系统、支付接口加密等。
• 政府部门如电子政务平台、政务云数据传输。
• 信创企业如需要完成软件国产化适配认证的项目。

申请材料清单 办理SHECA国密企业型（OV）SSL证书需要哪些资料？

您需要准备以下原件的彩色扫描件：

• 企业证明：有效期内的营业执照（副本）。
• 经办人身份：经办人身份证正反面（部分情况需加盖公章）。
• 授权委托书：上海CA提供的标准模板，需填写并加盖单位公章。
• 域名所有权证明：通常通过DNS解析记录或文件上传进行验证。

如何在Nginx上配置国密双证书？

Nginx国密双证书配置逻辑 由于国密证书需要特有的握手协议，Nginx官方原生版并不支持。您必须使用支持国密的Nginx版本（如大名鼎鼎的Tengine或国密实验室编译版）。

配置的核心在于同时指向两套证书路径，服务器会根据客户端浏览器的 CipherSuites自动识别。

核心配置示例：

Nginx

server {
    listen 443 ssl;
    server_name yourdomain.com;

    # 1. 国际RSA证书路径
    ssl_certificate /path/to/rsa.crt;
    ssl_certificate_key /path/to/rsa.key;

    # 2. 国密SM2证书路径（需支持国密的Nginx模块）
    ssl_certificate /path/to/sm2.crt;
    ssl_certificate_key /path/to/sm2.key;

    # 3. 开启国密支持开关
    ssl_protocols TLSv1 TLSv1.1 TLSv1.2;
    ssl_ciphers ECC-SM2-SM3:ECDHE-RSA-AES128-GCM-SHA256:AES128-GCM-SHA256;
}

国密证书常见问题排查

为什么Chrome还是报红？

Chrome不内置国密根证书。若仅部署国密证书，Chrome会提示“无法识别的算法”。必须配合双证书方案，或引导用户使用360安全浏览器、红莲花等国密浏览器。

审核需要多久？

资料齐全且电话回访顺利的情况下，通常1-2个工作日即可签发。

SHECA vs CFCA 国密企业型（OV）对比

这两种证书您该怎么选？

如果您是金融行业（银行、支付、互联网金融）：
建议优先选择 CFCA。金融系统的上下游对接、监管报送对CFCA证书的认可度是最高的，几乎没有沟通成本。

如果您是华东地区政企或信创项目：
SHECA 是非常稳妥的选择。上海CA在长三角地区的政务系统、招投标平台上集成度很高，本地化服务响应非常快。

如果您更看重价格与灵活性：
两家在OV级别的基础报价差距不大，但 SHECA 在中小型企业的灵活套餐和地方性优惠上通常比CFCA更多一些。

核心部署流程（通用步骤）

不论选哪家，您的落地步骤都是一样的：

1，首先环境确保您的Nginx/Apache支持国密模块（必须使用支持SM2的编译版）。

2，由于单一国密证书会导致Chrome报红，一定要申请“SM2国密+RSA国际”双证书。

3，在服务器配置中，需要配置双协议堆栈，同时指向两套证书，让国密浏览器走SM2，普通浏览器走RSA。

特别提醒：

如果您的项目正面临密评（商用密码应用安全性评估），除了证书，还需要关注底层服务器硬件（如国产服务器、国产操作系统）的适配情况。