企业网站SSL证书怎么选？免费证书、DV、OV和EV证书的区别和配置方法

打开一个网站，地址栏显示小锁标志和"https"前缀，说明这个网站安装了SSL证书。现在不装SSL证书的网站，浏览器会直接标记"不安全"，搜索引擎也会降低排名。对企业网站来说，SSL证书已经是必须配置的基础设施。

SSL证书到底是干什么的

SSL（Secure Sockets Layer）证书的核心作用是加密网站与访客浏览器之间的数据传输。没有SSL证书时，用户在网站上输入的任何信息——登录密码、联系方式、表单内容——都以明文形式在网络中传输，任何人在传输路径上截获数据包就能看到内容。

安装SSL证书后，数据在传输前会被加密，即使被截获也无法解读。

除了加密，SSL证书还有身份验证的作用。证书中包含了网站的身份信息，由第三方权威机构（证书颁发机构，简称CA）审核后签发。不同级别的证书，审核严格程度不同，这也是SSL证书分为DV、OV、EV三个级别的原因。

四种SSL证书的区别

免费SSL证书

最常见的免费SSL证书是Let's Encrypt签发的证书。国内的云服务商（阿里云、腾讯云、宝塔面板等）也提供免费的DV证书。

特点：

• 费用：完全免费
• 验证方式：仅验证域名所有权（域名验证）
• 有效期：通常90天，需要定期续签（可以自动化）
• 浏览器显示：小锁标志，和付费DV证书没有视觉区别
• 支持类型：单域名、通配符（Let's Encrypt支持）

适合场景：

• 个人博客、技术文档站
• 企业官网的开发和测试环境
• 对品牌形象要求不高的小型网站

局限：

• 没有企业身份认证，用户看不到你是哪家公司
• 部分免费证书不支持通配符（*.example.com）
• Let's Encrypt需要每90天续签一次（虽然可以自动化，但偶尔会出故障）
• 没有保险赔付（付费证书通常附带数万到数百万美元的保险）

DV证书（Domain Validation，域名验证）

DV证书是最基础的付费证书，只验证你对域名的所有权。

特点：

• 费用：几百到一两千元/年
• 验证方式：通过DNS记录或文件验证确认域名归你所有，不验证企业身份
• 签发速度：几分钟到几小时
• 浏览器显示：小锁标志

适合场景：

• 中小企业官网
• 内部管理系统
• 不涉及在线支付的网站

DV证书和免费证书在技术层面没有本质区别，都只做域名验证。付费DV的优势在于品牌CA机构（DigiCert、Sectigo等）的信誉背书和保险赔付。

OV证书（Organization Validation，组织验证）

OV证书在域名验证的基础上，还会验证申请企业的真实身份。

特点：

• 费用：一千到五千元/年
• 验证方式：除了域名验证，还需要提交企业营业执照等资质材料，CA机构会通过电话或邮件核实企业信息
• 签发速度：1-5个工作日
• 浏览器显示：小锁标志。在证书详情中可以看到企业名称
• 包含信息：企业名称、地址、组织类型等

适合场景：

• 需要展示企业可信度的官网
• 企业电商网站
• 有在线表单收集客户信息的网站
• 对外提供服务的B2B平台

OV证书的价值在于它经过了人工审核，证明了域名确实归属于证书中声明的企业。访客查看证书详情时可以确认"这个网站确实是XX公司的"。

EV证书（Extended Validation，扩展验证）

EV证书是验证级别最高的SSL证书，审核流程最严格。

特点：

• 费用：三千到上万元/年
• 验证方式：最严格的企业身份验证，包括企业注册信息、经营状态、实际办公地址、申请人授权等多个维度
• 签发速度：3-10个工作日
• 浏览器显示：小锁标志（早期浏览器会在地址栏显示绿色企业名称，现在大多数浏览器已取消这个视觉区分）
• 包含信息：完整的企业身份信息

适合场景：

• 金融类网站（银行、证券、保险）
• 大型电商平台
• 政务服务网站
• 涉及大额交易的B2B平台
• 对品牌信任度要求极高的企业

需要注意的变化： 早些年EV证书在浏览器地址栏会显示绿色的企业名称，这是一个非常直观的信任标识。但从2019年开始，Chrome和Firefox等主流浏览器取消了这个视觉区分，EV证书和OV/DV证书在地址栏上看起来一样了。企业名称只有点击锁标志查看证书详情才能看到。这意味着EV证书的视觉信任优势已经大打折扣。

四种证书对比

维度	免费证书	DV证书	OV证书	EV证书
年费	0	300-1500元	1000-5000元	3000-15000元
验证内容	域名	域名	域名+企业	域名+企业（严格）
签发时间	几分钟	几分钟到几小时	1-5个工作日	3-10个工作日
企业名称显示	无	无	证书详情中	证书详情中
保险赔付	无	1-5万美元	5-50万美元	50-175万美元
适合	个人/测试	中小企业	企业官网/电商	金融/大型平台

企业应该选哪种

对于大多数中小企业来说：

企业官网（展示型）： 免费证书或DV证书就够了。网站主要展示公司信息和产品介绍，不涉及在线交易，安全需求不高。用免费的Let's Encrypt或者云服务商提供的免费DV证书即可。

有在线表单/询盘功能的官网： 建议OV证书。虽然DV也能加密，但OV证书的企业身份认证可以增加可信度，特别是B2B业务场景，客户在提交联系方式前会更放心。

电商网站/涉及支付： 至少OV证书。涉及用户的支付信息和个人数据，需要更高级别的安全保障。

金融/医疗/政务： EV证书。这些行业有更高的合规要求和信任需求。

单域名、多域名和通配符

除了验证级别，SSL证书还有域名覆盖范围的区分：

单域名证书：只保护一个域名，比如 www.example.com。注意，www.example.com 和 example.com 是两个不同的域名，有些单域名证书会同时覆盖这两个。

多域名证书（SAN证书）：一张证书保护多个不同的域名，比如同时保护 www.example.com、shop.example.com、mail.example.com。适合企业有多个子域名或多个独立域名的情况。

通配符证书（Wildcard）：保护一个域名及其所有同级子域名，比如 *.example.com 覆盖 www.example.com、shop.example.com、api.example.com 等。

选择建议：

• 只有一个 www 域名：单域名证书
• 有几个固定的子域名（www、api、admin）：多域名证书更划算
• 子域名较多或会动态增加：通配符证书

SSL证书的申请流程

第一步：选择CA机构和证书类型

主流的CA机构：

• DigiCert：全球最大的CA之一，企业级证书的首选
• Sectigo（原Comodo）：性价比较高，市场占有率大
• GlobalSign：老牌CA，企业用户多
• Let's Encrypt：免费证书的代名词，自动化程度高

国内通常通过云服务商（阿里云、腾讯云）或SSL代理商购买，价格比直接从CA官网购买便宜不少。

第二步：生成CSR文件

CSR（Certificate Signing Request）是证书签名请求文件，包含了你的域名和组织信息。在服务器上通过OpenSSL命令生成：

openssl req -new -newkey rsa:2048 -nodes -keyout server.key -out server.csr

生成过程中需要填写以下信息：

• Country Name：国家代码（中国填CN）
• State：省份
• Locality：城市
• Organization Name：公司名称
• Common Name：要保护的域名

生成后会得到两个文件：server.key（私钥，务必保密）和server.csr（提交给CA的请求文件）。

现在很多云服务商的控制台可以在线生成CSR，不需要手动操作命令行。

第三步：提交验证

DV验证：通常有三种方式

• DNS验证：在域名DNS中添加一条指定的TXT记录
• 文件验证：在网站根目录放置一个指定内容的文件
• 邮箱验证：向域名管理员邮箱发送确认邮件

OV/EV验证：除了域名验证，还需要

• 提交营业执照等企业资质文件
• CA机构电话核实企业信息
• EV还需要提交额外的授权文件

第四步：下载和安装证书

验证通过后，CA会签发证书文件。通常会得到：

• 域名证书文件（server.crt 或 server.pem）
• 中间证书文件（ca-bundle.crt 或 intermediate.pem）
• 根证书文件（有时包含在中间证书中）

Nginx服务器配置SSL

大多数企业网站使用Nginx作为Web服务器，以下是配置SSL的步骤：

将证书文件和私钥文件上传到服务器，建议放在专门的证书目录下，比如 /etc/nginx/ssl/。

Nginx配置文件中添加SSL相关配置：

server {
    listen 443 ssl http2;
    server_name www.example.com;

    ssl_certificate /etc/nginx/ssl/server.pem;
    ssl_certificate_key /etc/nginx/ssl/server.key;

    ssl_protocols TLSv1.2 TLSv1.3;
    ssl_ciphers ECDHE-RSA-AES128-GCM-SHA256:ECDHE-RSA-AES256-GCM-SHA384;
    ssl_prefer_server_ciphers on;

    ssl_session_cache shared:SSL:10m;
    ssl_session_timeout 10m;
}

同时配置HTTP到HTTPS的301重定向：

server {
    listen 80;
    server_name www.example.com;
    return 301 https://$server_name$request_uri;
}

配置完成后执行 nginx -t 检查配置语法，没问题后 nginx -s reload 重载配置。

配置后的检查

SSL证书安装完成后，建议做以下检查：

浏览器检查：用Chrome打开网站，确认地址栏显示锁标志，没有"不安全"警告。

混合内容检查：如果页面中引用了HTTP资源（图片、脚本、样式表），浏览器会报"混合内容"警告。需要把所有资源引用改为HTTPS或使用协议相对URL（//example.com/image.jpg）。

证书链完整性：如果中间证书没有正确配置，部分浏览器和设备可能无法验证证书。可以用在线工具检测证书链是否完整。

TLS版本和加密套件：确保服务器只启用了TLS 1.2和TLS 1.3，禁用了已知不安全的SSL 3.0、TLS 1.0和TLS 1.1。

证书续签和管理

SSL证书有有效期，过期后浏览器会显示安全警告，严重影响用户体验和SEO排名。

免费证书（Let's Encrypt）： 90天有效期，建议用certbot等工具配置自动续签。定期检查自动续签是否正常工作。

付费证书： 通常一年有效期（部分可以买多年）。建议在到期前一个月开始续签流程，避免因为验证延迟导致证书过期。

管理建议：

• 记录所有证书的到期日期，设置提前30天的提醒
• 如果有多个域名和证书，用表格统一管理
• 保管好私钥文件，私钥泄露需要立即吊销证书并重新申请

对SEO的影响

Google在2014年就明确将HTTPS作为排名信号。百度也在2015年宣布优先收录HTTPS网站。

具体影响包括：

• HTTPS网站在搜索结果中排名略优于HTTP网站
• Chrome浏览器对HTTP网站标记"不安全"，影响用户点击率
• 部分浏览器功能（地理定位、摄像头、Service Worker等）只在HTTPS环境下可用

对于企业网站来说，配置SSL证书是SEO的基本功。广州万户网络在做网站建设项目时，会在网站上线时就完成SSL证书的配置和HTTPS的全站部署，确保从上线第一天就获得搜索引擎的信任加分。

总结

对于大多数中小企业网站，免费证书或DV证书就能满足加密需求。如果网站涉及客户信息收集或在线交易，建议用OV证书增加信任度。EV证书适合金融等高信任度行业。

配置SSL证书的技术难度不高，宝塔面板、各大云服务商的控制台都提供了一键部署的功能。关键是选对证书类型、正确配置、及时续签，确保网站始终处于安全加密的状态。