2026 年 SSL 证书有效期缩至 199 天：企业选证书要注意什么？

信息安全 作者：iTrustSSL 2026-11-14 14:01:34 阅读：0

一、新规落地：证书有效期进入 "缩短周期"

根据 CA/Browser Forum 提案 SC-081v3，全球公开可信的 SSL/TLS 证书有效期正在分阶段压缩：

2026 年 3 月 15 日起：新签发证书最长不超过 200 天（行业建议 199 天），从此前的 398 天腰斩；

2027 年 3 月 15 日起：进一步缩短至 100 天；

2029 年 3 月：压缩到 47 天。

缩短有效期的核心逻辑是降低证书一旦私钥泄露后的可用窗口：有效期越短，被冒用的时间范围就越小，整体互联网信任体系更安全。

二、对企业意味着什么

有效期变短，最直接的影响是续期频率翻倍甚至更高。如果仍靠人工登记、到期前手工申请续签，很容易出现漏续、忘续，导致浏览器报 "不安全"、网站打不开。因此企业在选型时，除了价格和品牌，还需要重点考虑：签发速度、是否便于自动化续期、售后与重新颁发政策。

三、先分清证书类型，再谈品牌

选型第一步不是挑牌子，而是按业务场景确定证书验证级别：

1、DV 域名型

验证内容：仅验证域名控制权

适用场景：个人博客、测试站、API 接口、小程序、内部系统    

2、OV 企业型

验证内容：域名 + 企业身份验证

适用场景：企业官网、电商、面向客户的业务系统    

3、EV 增强型

验证内容：最高等级企业身份验证

适用场景：金融、支付、大型交易平台    

算法方面，主流证书同时支持 RSA 和 ECC：ECC 密钥更短、握手更快、性能更好；RSA 兼容性更传统，可按服务器和客户端支持情况选择。型号上则分单域名、多域名（SAN）、通配符（Wildcard）和多域名通配符。

四、主流品牌定位对比

不同品牌面向的客群和价格档位不同，建议结合预算与合规要求选择：

DigiCert：国际顶级 CA，高端 Secure Site 系列提供智能站点印章、黑名单检查、大额保修担保和 CertCentral 证书管理平台，优先技术支持，适合金融、大型电商和对保障级别要求高的企业，价格档位较高。

TrustAsia（亚洲诚信）：国内较早的自主 CA 品牌，基于 DigiCert 基础设施建设，具备国内与国际双 CA 认证，支持 SM2/RSA/ECC 双算法，面向政府、金融及有国密 / 合规要求的行业，价格处于中高水平。

iTrustSSL（KNOWSAFE 旗下自营品牌）：定位高性价比国产品牌，支持 RSA/ECC 算法与中国区 OCSP 响应，覆盖 DV、OV 及单域名、多域名、通配符等型号，适合个人网站、小微企业、API 服务、APP 和小程序，起步价格低，中小企业预算有限时性价比突出。

此外平台还可选购 GeoTrust（DigiCert 旗下中端国际品牌）、GlobalSign（国际老牌 CA）、CFCA（国产金融 CA）等，便于按场景横向比较。

五、选型建议

个人站、小程序、API 接口：DV 证书即可满足加密需求，优先考虑签发快、价格低的 iTrustSSL 等高性价比方案。

企业官网、对外业务系统：建议 OV 证书，展示企业身份、提升访客信任；有国密或等保密评需求时，再评估 TrustAsia 等支持 SM2 的方案。

金融、支付、大型交易平台：优先 DigiCert 等高端品牌，关注担保额度、管理平台和 SLA 支持。

多站点、多子域名：先算清单域名证书组合与通配符证书哪个更划算；通配符配合 DNS-01 验证更便于自动化续期。

六、写在最后

有效期缩短是确定趋势，人工续签的空间会越来越小。建议企业尽早梳理现有站点清单，按 "场景 — 类型 — 品牌" 三层匹配证书，并把自动化续期纳入规划。具体型号、算法与报价，可在 KNOWSAFE 平台对比 iTrustSSL、TrustAsia、DigiCert 等品牌后，结合自身预算和业务需求选择。