解决方案Channel Partners · 分销 API · 证书代管

渠道与代理商 SSL 证书解决方案

渠道与代理商 SSL 证书解决方案是 EncryptionSign 面向 IDC、云与主机服务商、建站服务商、MSP(托管服务商)与系统集成商的证书供应与代管方案:通过一个账户和分销 API 采购 Sectigo、DigiCert、GlobalSign、GeoTrust、Thawte、Certum、AlphaSSL、PositiveSSL、GoGetSSL、sslTrus、KeepTrust 共 11 家 CA 品牌的证书,按客户建立项目集中代管证书,以用户专属价格、账户余额与平台设定的信用额度开展业务,并用自动续期与到期提醒把一次性销售变成持续服务。具体合作政策请联系商务。

更新于 EncryptionSign 证书技术团队首次发布

  • 11 家 CA 品牌
  • 分销 API
  • 客户证书代管
  • 专属价格
  • 余额与信用额度
  • 批量申请

渠道与代理商方案要点速览

一句话方案:渠道伙伴在 EncryptionSign 开通账户后,可以通过控制台或分销 API 统一采购 11 家 CA 品牌的证书,为每个客户建立项目集中代管证书,由平台自动完成验证、部署、续期与监控;采购按用户专属价格从账户余额扣款,平台可根据合作情况设定信用额度。合作形式与价格政策以商务确认为准。

  • 多品牌货源:9 家国际品牌与 sslTrus、KeepTrust 2 家国产品牌,覆盖 DV / OV / EV、通配符、多域名与公网 IP。
  • 系统对接:分销 API 提供多品牌统一下单接口,可接入伙伴自有控制面板或业务系统。
  • 客户代管:客户证书集中代管,按项目分配成员与角色,全程记录操作审计日志。
  • 资金:用户专属价格;账户余额支付,平台可设定透支(信用)额度;支持收银台在线充值。
  • 续费:30 / 15 / 7 / 1 天多级提醒与自动续期,客户在其他渠道购买的证书也可纳入监控。
  • 行业变化:2026 年 3 月 15 日起证书最长 200 天,2029 年起 47 天,证书服务从“一年卖一次”变为持续托管。
Challenges

渠道伙伴开展 SSL 证书业务面临哪些挑战?

证书业务的难点不在一次性销售,而在长期服务:多家 CA 的采购与对账、客户证书的交接与续费、OV / EV 审核的沟通,以及有效期缩短后成倍增加的更换工作。

多个 CA 账户分散采购

为满足不同客户对品牌的要求,同时维护多个 CA 或上游供应商的账户,各自充值、各自对账;客户指定一个新品牌,就要再对接一套接口。

有效期缩短,服务压力倍增

证书最长有效期从 398 天缩短到 200 天,2029 年起只有 47 天。靠技术支持人员为上百家客户手动更换证书的模式无法持续,一次遗漏就可能变成客户投诉。

客户证书散落、难以交接

客户证书分散在销售个人邮箱、工单附件与客户服务器里,哪张证书部署在哪里、何时到期无从查起,人员变动后续费与售后都会断档。

OV / EV 审核占用人力

企业客户的 OV / EV 证书需要提交营业执照、配合 CA 电话回访,资料不全或流程不熟会让订单卡上好几天,占用销售与技术支持大量时间。

渠道与代理商方案如何帮助伙伴开展证书业务?

EncryptionSign 为渠道伙伴提供“一个货源、一套接口、一个代管平台”:多品牌证书通过同一账户与分销 API 采购,客户证书在同一平台按项目代管,验证、部署、续期与监控由平台自动执行,伙伴可以把精力放在客户开发与服务上。

货源:11 家 CA 品牌,一个账户采购

渠道客户的需求差异很大:个人站长只看价格,中小企业要兼顾品牌与价格,金融与上市公司要求一线 CA,政企项目关注国产品牌与资料不出境。EncryptionSign 一个账户即可采购入门 DV 品牌 PositiveSSL、AlphaSSL、GoGetSSL,主流品牌 Sectigo、GeoTrust、Thawte、Certum,高端品牌 DigiCert、GlobalSign,以及国产品牌 sslTrus、KeepTrust,覆盖 DV、OV、EV 与单域名、通配符、多域名、公网 IP 等类型,支持批量申请。

对接:分销 API 与控制台两种方式

已有自有控制面板或业务系统、订单量较大的伙伴,通过分销 API 的多品牌统一下单接口,把证书销售嵌入现有流程;以服务为主的伙伴,直接在控制台为客户下单、验证与部署,平台自动生成 CSR 与密钥对,也支持客户在自己的服务器上本地生成 CSR。技术能力较强的客户还可以使用 ACME(含 EAB)、RESTful API 与 Webhook 自行接入,详见云与 DevOps 解决方案。

代管:按客户建项目,证书全生命周期托管

为每个客户建立项目,按项目分配成员与角色,分别控制申请、部署与查看权限。客户证书签发后,平台通过部署代理 / SSH 或云平台 API 自动部署到 Nginx、Apache、IIS、Tomcat、宝塔面板、1Panel、Kubernetes 以及阿里云、腾讯云、华为云 CDN 与负载均衡等目标,部署后自动校验;在服务期内到期前自动续签并生成续期报告。所有操作记录审计日志,人员变动时只需调整项目成员。

资金:专属价格、账户余额与信用额度

平台支持用户专属价格,采购从账户余额扣款,可通过收银台使用微信支付、支付宝等在线充值;平台可根据合作情况为账户设定透支(信用)额度,避免客户紧急续期时因充值不及时而延误。额度大小与具体价格政策请联系商务确认。

服务:7×24 小时证书专家支持

证书专家 7×24 小时在线,协助伙伴完成证书选型、域名验证排错、OV / EV 审核资料准备与部署问题处理,减少伙伴自建证书技术团队的投入。

不同类型的渠道伙伴如何使用 EncryptionSign?

IDC 与主机服务商侧重 API 对接与批量供货,建站服务商与 MSP 侧重客户证书代管与自动续期,系统集成商侧重 OV / EV、国产品牌与项目交付。同一个伙伴也可以组合使用多种方式。

渠道伙伴类型与推荐使用方式
伙伴类型典型客户与业务主要证书需求推荐使用方式
IDC、云与主机服务商云服务器、VPS 与虚拟主机用户DV 单域名与通配符为主,数量大、价格敏感分销 API 接入自有控制面板,客户在面板内自助下单;批量申请
建站服务商、网站开发公司企业官网、商城与小程序项目DV / OV,部署在宝塔面板、1Panel 或云服务器控制台为每个客户建立项目,自动部署到宝塔面板 / 1Panel,到期自动续期
MSP、运维外包服务商托管客户的服务器、云资源与网站多品牌、多类型证书并存,需要统一视图证书资产集中管理 + 证书监控(含客户自购证书),告警推送到企业微信、钉钉、飞书或 Webhook
系统集成商、软件开发商政企、教育、医疗等项目交付OV / EV、国产品牌、国密 SM2,偶有代码签名需求证书专家协助审核与国密方案选型;代码签名、文档签名单独咨询

分销 API 适合做什么?

  • 嵌入自有面板:在主机或云产品的购买页、控制面板中直接销售证书,客户无需离开伙伴的系统;
  • 统一多品牌下单:一套接口对接多家 CA 品牌,客户新增品牌需求时无需再对接新的上游;
  • 批量开通:为建站项目、站群或新开通的主机批量申请证书;
  • 与自动部署衔接:签发后由伙伴系统交付证书,或配置平台自动部署到客户服务器与云 CDN。

具体接口能力与调用方式以 API 文档为准,接入前可联系技术支持获取对接说明。

代管客户证书前应约定什么?

代管意味着伙伴会接触客户的域名验证权限、服务器部署权限,甚至证书私钥。建议在合作开始时与客户书面约定:私钥由谁生成、保存在哪里;证书部署到哪些服务器与 CDN;DNS 与服务器授权的范围;到期续费的流程;以及停止服务时证书、私钥与授权如何交接与回收。清晰的边界既保护客户,也保护伙伴自身。

Recommended

渠道伙伴应为不同客户推荐哪些证书?

渠道伙伴推荐证书的基本原则是:按客户是否需要证明企业身份选验证级别,按域名数量与结构选域名类型,按预算与合规要求选品牌。下表按常见客户类型给出建议,品牌均可在 EncryptionSign 采购。

渠道伙伴按客户类型推荐的证书组合
客户类型 / 场景推荐证书类型推荐品牌理由
个人站长、小微企业展示站DV 单域名PositiveSSL、AlphaSSL、GoGetSSL价格敏感、无需资料,DNS 自动验证后全自动签发与续期
中小企业官网与商城OV 单域名或 DV 通配符Sectigo、GeoTrust、Thawte展示企业身份、价格适中;同一品牌可从 DV 升级到 OV / EV
金融、支付、上市公司与大型品牌EV / OVDigiCert、GlobalSign一线 CA 品牌,EV 执行最严格的组织审核;EV 不支持通配符
政企、国企、教育与医疗项目OV、国密 SM2、国产根KeepTrust、sslTrus国产品牌;KeepTrust 审核签发在国内完成、资料不出境;国密需与 RSA / ECC 双证书部署
SaaS、多子站与多品牌客户通配符 / 多域名AlphaSSL、Sectigo、GlobalSign一张证书覆盖多个子域名或多个域名,减少证书数量与续期操作
通过公网 IP 访问的设备与系统公网 IP 证书GoGetSSL(Public IP SAN)、KeepTrust没有域名时为公网 IP 启用 HTTPS;私有 IP 不能申请公共信任证书
软件开发商与开源项目代码签名证书(OV / EV)Sectigo、DigiCert、Certum私钥须存放在硬件或云签名服务中;Certum 提供 Open Source Code Signing;需咨询订购
各品牌产品是否支持通配符、多域名、公网 IP 与 ACME,以控制台中的产品说明为准;代码签名、S/MIME 邮件与文档签名证书暂不支持在线下单,可由证书顾问协助完成选型、身份验证与交付。为客户推荐时,请勿承诺 CA 尚未确认的签发时效。
Platform

EncryptionSign 为渠道伙伴提供哪些平台能力?

EncryptionSign 把证书采购、交付与长期运维整合在一个平台上,下面六项能力是渠道伙伴开展证书业务最常用的部分。

多品牌货源

11 家 CA 品牌在线下单,覆盖 DV / OV / EV 与单域名、通配符、多域名、公网 IP;自动生成 CSR 与密钥对,支持批量申请。

分销 API

多品牌统一下单接口,配合 RESTful API、Webhook 与 ACME(含 EAB),把证书销售与交付嵌入伙伴自有控制面板与业务系统。

客户证书集中代管

按客户建立项目,按项目分配成员与角色,分别控制申请、部署与查看权限;申请、验证、部署全过程记录操作审计日志。

专属价格与信用额度

用户专属价格;账户余额支付,可通过收银台使用微信支付、支付宝等在线充值;平台可根据合作情况设定透支(信用)额度。

自动部署与续期

DNS API 或 CNAME 委托自动验证,签发后自动部署到 Nginx、IIS、宝塔面板、1Panel 与主流云 CDN / 负载均衡,服务期内到期前自动续签并生成续期报告。

客户证书监控

30 / 15 / 7 / 1 天多级到期提醒,检测证书链、吊销状态、域名匹配与 TLS 配置;客户在其他渠道购买的证书也可纳入监控,告警发送到邮件、短信、企业微信、钉钉、飞书或 Webhook。

Implementation

渠道伙伴如何分四步开展合作?

从开通账户到持续运营,渠道伙伴通常按以下四步开展证书业务;平台能力注册后即可使用,价格与额度等合作政策需与商务确认。

  1. 联系商务开通

    注册 EncryptionSign 账户并联系商务,说明业务类型、客户规模与品牌需求,确认专属价格、信用额度与合作政策。

  2. 选择接入方式

    已有自有面板、订单量大的伙伴对接分销 API;以服务为主的伙伴直接在控制台为客户下单与代管;也可以两种方式并用。

  3. 导入与迁移客户

    为每个客户建立项目并分配成员与角色;把客户现有域名导入证书监控,梳理即将到期与在其他渠道购买的证书。

  4. 自动续期与运营

    配置 DNS 验证与部署目标,开启自动续期;根据到期提醒与续期报告跟进客户续费,定期回顾客户证书资产。

哪些能力开箱即用,哪些需要与商务确认?

注册 EncryptionSign 账户后,多品牌下单、批量申请、自动验证、自动部署、自动续期、证书监控、项目与角色、操作审计与在线充值等平台能力即可使用;用户专属价格与透支(信用)额度由平台为账户设定;合作形式、价格体系与结算方式等具体合作政策,需要与商务确认。下表列出两者的边界,便于伙伴评估。

平台能力与需商务确认事项
事项平台已提供需与商务确认
证书货源11 家 CA 品牌在线下单、批量申请特定品牌或产品的供货与价格政策
系统对接分销 API、RESTful API、Webhook、ACME(含 EAB)对接方式与联调安排
价格用户专属价格(由平台为账户设定)价格档位与调整规则
资金与结算账户余额支付;收银台在线充值(微信支付、支付宝等)透支(信用)额度的大小与结算方式
客户管理客户证书集中代管、项目与角色、操作审计日志、证书监控与告警—
技术支持7×24 小时证书专家支持,协助选型、验证、OV / EV 审核与部署—
合作形式—合作模式、品牌展示、返佣等是否提供及具体条款,本页不作承诺

如需了解合作政策,请发送邮件至 support@encryptionsign.com,注明公司名称、伙伴类型、预计客户规模与主要品牌需求,商务人员会与您联系。

代管客户证书需要注意哪些合规与数据安全问题?

渠道伙伴代管客户证书时,会接触客户的私钥、DNS 与服务器授权,以及 OV / EV 审核资料(营业执照、联系人姓名与电话等),因此需要按照《数据安全法》《个人信息保护法》的要求做好访问控制与加密保护,并为客户的等保、密评与 PCI DSS 需求提供相应的证书方案。

渠道伙伴代管客户证书的合规与安全要点
关注点依据建议做法
审核资料中的个人信息《个人信息保护法》(2021 年 11 月 1 日施行)第五十一条:采取加密、去标识化等安全技术措施资料只通过加密渠道提交,不在聊天工具与个人邮箱中流转;按项目限制查看权限
客户数据与证书资产《数据安全法》(2021 年 9 月 1 日施行)证书资产集中管理,操作审计日志留痕;人员离职时及时回收项目权限
客户私钥私钥泄露即需吊销证书优先在客户服务器本地生成 CSR 与私钥,私钥无需上传平台;由平台生成时私钥加密存储,仅通过加密通道下发到授权的部署目标
等保与密评客户GB/T 22239-2019 第三级要求采用密码技术保证通信过程中数据的完整性与保密性;GB/T 39786-2021 密评;国密 TLCP(GB/T 38636-2020)推荐国产品牌 SM2 证书与 RSA / ECC 双证书部署,参考政企与教育解决方案
要求资料不出境的客户客户自身的数据管理要求选择审核签发在国内完成、资料不出境的 KeepTrust
支付与金融客户PCI DSS v4.0 要求 4.2.1(证书有效、未过期未吊销)与 4.2.1.1(受信任密钥与证书清单,2025 年 3 月 31 日起强制)证书监控与资产清单;参考金融保险解决方案与电商零售解决方案
证书中的域名公开可见证书透明度(CT,RFC 6962):Chrome 自 2018 年 4 月起要求新证书带有 SCT提醒客户不要把敏感的内部主机名写入公共证书;可在 crt.sh 核查客户域名已签发的证书
Best Practices

渠道伙伴证书业务运营建议

以下建议来自证书代管与续费服务中的常见问题,左侧为推荐做法,右侧为需要避免的做法。

运营建议

  • 按客户建立项目,项目内只分配必要的成员与角色;
  • 优先使用 DNS API 或 CNAME 委托验证,客户授权的范围越小越好;
  • 合作开始时与客户约定私钥保管、续费流程与停止服务时的交接方式;
  • 把客户现有证书(包括在其他渠道购买的)导入监控,提前 30 天跟进续费;
  • 向客户说明 200 天、100 天、47 天有效期新规,推荐一年或多年服务期 + 自动续期;
  • OV / EV 订单提前准备营业执照与可接听的联系电话,缩短审核时间;
  • 定期核对账户余额与信用额度的使用情况。

需要避免的做法

  • 用销售个人的邮箱或手机号注册客户证书账户;
  • 通过微信、QQ 等聊天工具传递私钥或 .pfx 文件;
  • 多个客户共用一个项目,无法区分权限与审计记录;
  • 向客户承诺 CA 尚未确认的签发时效或价格;
  • 依赖人工记录到期日与手动替换证书;
  • 把客户的 DNS 主账号密码保存在共享文档中。
FAQ

渠道与代理商合作常见问题

关于分销 API、客户证书代管、专属价格、信用额度、OV / EV 审核与有效期新规,渠道伙伴最常问的问题。

EncryptionSign 支持 SSL 证书代理与分销吗?

支持。EncryptionSign 面向 IDC、云与主机服务商、建站服务商、MSP 与系统集成商,提供多品牌货源、分销 API、客户证书集中代管、用户专属价格、账户余额与可由平台设定的透支(信用)额度。注册账户后即可在控制台为客户下单与代管证书;合作形式、价格体系与额度等具体合作政策,请发送邮件至 support@encryptionsign.com 联系商务确认。

可以采购哪些证书品牌?有国产品牌吗?

一个账户可采购 11 家 CA 品牌的证书:国际品牌 Sectigo、DigiCert、GlobalSign、GeoTrust、Thawte、Certum、AlphaSSL、PositiveSSL、GoGetSSL,以及国产品牌 sslTrus(锐安信)与 KeepTrust(环安信)。产品覆盖 DV、OV、EV 验证级别与单域名、通配符、多域名、公网 IP 等类型;代码签名、S/MIME 邮件与文档签名证书暂不支持在线下单,可由证书顾问协助。

分销 API 能做什么?

分销 API 提供多品牌统一下单接口,适合把证书销售嵌入伙伴自有的控制面板或业务系统:客户在伙伴的面板中选择证书并下单,订单通过 API 提交到 EncryptionSign,验证与签发后由伙伴系统交付,或由平台自动部署到客户服务器。平台同时提供 RESTful API、Webhook 与 ACME(含 EAB),具体接口能力与调用方式以 API 文档为准,接入前可联系技术支持获取对接说明。

可以替客户管理证书吗?不同客户能分开管理吗?

可以。客户证书集中代管是渠道方案的核心能力:建议为每个客户建立一个项目,按项目分配成员与角色,分别控制申请、部署与查看权限;证书的申请、验证、部署与续期在同一平台完成,全过程记录操作审计日志。销售或技术人员变动时,只需调整项目成员,客户证书不会因人员交接而“失联”。

代理价格怎么定?能申请专属价吗?

证书价格取决于验证级别、域名类型、数量与年限,登录 EncryptionSign 控制台“证书价格”页可查看实时一年期价格。平台支持用户专属价格,企业与渠道客户可申请专属价;具体价格政策请联系商务确认,本页不公布折扣或价格档位。

可以先用后付吗?什么是透支(信用)额度?

账户默认使用余额支付,可通过收银台使用微信支付、支付宝等在线充值。平台可以根据合作情况为账户设定透支(信用)额度,在额度范围内余额不足时仍可下单,避免客户紧急续期时因充值不及时而延误。额度大小与结算方式由平台评估设定,请联系商务。

客户的 OV / EV 审核由谁跟进?需要准备什么?

OV / EV 证书由 CA 核验组织身份:通常需要营业执照等组织证明文件、完成域名验证,并配合 CA 的电话回访或第三方数据库核验,EV 的审核项更严格。EncryptionSign 证书专家 7×24 小时在线,可协助伙伴准备审核资料、解答 CA 的核验要求并跟进进度。组织身份信息的复用期为 398 天,同一客户在复用期内再次申请或重签 OV / EV 证书,通常只需重新完成域名验证(以 CA 为准)。

证书有效期缩短到 47 天,代理商的业务会受影响吗?

会改变业务形态。根据 CA/浏览器论坛 SC-081 决议,单张证书最长有效期 2026 年 3 月 15 日起为 200 天,2027 年 3 月 15 日起为 100 天,2029 年 3 月 15 日起为 47 天。客户购买的仍是一年或多年的服务期,CA 在订单期内多次重新签发证书,EncryptionSign 在服务期内自动重签并部署。手动替换证书的服务模式成本会越来越高,伙伴的价值将转向自动化托管、监控与续费服务。

客户在其他渠道购买的证书也能管理吗?

可以纳入证书监控。导入客户的域名后,平台会检测证书有效期、证书链、吊销状态、域名匹配与 TLS 配置,平台外签发的证书同样可以监控,并按 30 / 15 / 7 / 1 天多级提醒。伙伴可以据此提前联系客户,在证书到期前完成续费或迁移,并在后续由平台自动续期与部署。

代理合作有哪些政策?可以贴牌或返佣吗?

本页介绍的是 EncryptionSign 平台已经提供的能力:多品牌货源、分销 API、客户证书集中代管、用户专属价格、账户余额与可由平台设定的信用额度。合作形式、品牌展示、价格体系、结算方式以及是否提供贴牌、返佣等具体合作政策,请联系商务,以双方确认的合作协议为准,本页不作任何承诺。

参考资料与更新说明

本文由 EncryptionSign 证书技术团队依据以下公开标准与资料整理,最后更新于 。CA 产品名称、验证规则与行业政策可能调整,请以 CA 官方与 CA/浏览器论坛最新发布为准;如需确认,请联系 support@encryptionsign.com。

  1. CA/浏览器论坛(CA/Browser Forum):TLS 证书基线要求与 SC-081 有效期决议
  2. RFC 8555:自动证书管理环境(ACME)
  3. Chrome 根证书计划政策(Chrome Root Program Policy)
  4. 《中华人民共和国个人信息保护法》(2021 年 11 月 1 日施行)
  5. 《中华人民共和国数据安全法》(2021 年 9 月 1 日施行)
  6. 证书透明度日志查询(crt.sh),可核查客户域名已签发的证书

与 EncryptionSign 一起开展证书业务

注册账户即可在控制台为客户下单与代管证书;分销 API 对接、专属价格与信用额度等具体合作政策,请联系商务确认。