SSL证书种类

验证等级的差别

DV（Domain Validation）：只验证你拥有该域名（DNS 或文件验证，几分钟签发）——加密强度和其他证书完全一样，区别只在「证书里不显示公司名」；OV（Organization）：验证企业真实存在（营业执照+电话回访，3~7 天），证书详情可见公司名——给用户「这是真公司」的背书；EV（Extended Validation）：最严格的尽调（法律存在+实体经营+授权），浏览器地址栏曾显示公司名（如今浏览器统一成小锁，EV 的展示红利基本消失——EV 销量逐年下滑是有原因的）。选择现实：展示型网站和 API 用 DV 足够；金融、政务、大型电商平台用 OV 传递品牌信任；EV 按需。

域名覆盖类型

单域名证书：一个域名一张证；多域名（SAN）：一张证覆盖多个不同域名（如 a.com + b.cn + api.c.com，默认 3~5 个可加购）；通配符（Wildcard）：*.example.com 覆盖所有一级子域（多子域业务的性价比之王——但只覆盖一级：a.b.example.com 不行，需要二级通配符组合）。密钥算法：RSA 2048 传统主流、ECC 256（更短更快，兼容性已足够，新项目首选）。

获取渠道与管理

免费渠道：Let's Encrypt（90 天期，certbot 自动续期——自动化做好完全无感）、云厂商免费 DV 证书（阿里/腾讯每年 20 张，一年期，续签手动）；付费：DigiCert/Sectigo/GlobalSign 通过国内代理买（OV 年费几百到两千，通配符 DV 几百元——官方直购贵几倍，代理是常态）。运维纪律：证书到期监控（到期前 30 天告警——「证书过期网站打不开」是运维事故排行榜常年前三）、私钥保管（泄露立即吊销重签）、全站 HTTPS 后做 HSTS + 混合内容检查（页面里的 http:// 图片链接会让小锁变灰）。