多个 CA 账户分散采购
为满足不同客户对品牌的要求,同时维护多个 CA 或上游供应商的账户,各自充值、各自对账;客户指定一个新品牌,就要再对接一套接口。
渠道与代理商 SSL 证书解决方案是 EncryptionSign 面向 IDC、云与主机服务商、建站服务商、MSP(托管服务商)与系统集成商的证书供应与代管方案:通过一个账户和分销 API 采购 Sectigo、DigiCert、GlobalSign、GeoTrust、Thawte、Certum、AlphaSSL、PositiveSSL、GoGetSSL、sslTrus、KeepTrust 共 11 家 CA 品牌的证书,按客户建立项目集中代管证书,以用户专属价格、账户余额与平台设定的信用额度开展业务,并用自动续期与到期提醒把一次性销售变成持续服务。具体合作政策请联系商务。
一句话方案:渠道伙伴在 EncryptionSign 开通账户后,可以通过控制台或分销 API 统一采购 11 家 CA 品牌的证书,为每个客户建立项目集中代管证书,由平台自动完成验证、部署、续期与监控;采购按用户专属价格从账户余额扣款,平台可根据合作情况设定信用额度。合作形式与价格政策以商务确认为准。
证书业务的难点不在一次性销售,而在长期服务:多家 CA 的采购与对账、客户证书的交接与续费、OV / EV 审核的沟通,以及有效期缩短后成倍增加的更换工作。
为满足不同客户对品牌的要求,同时维护多个 CA 或上游供应商的账户,各自充值、各自对账;客户指定一个新品牌,就要再对接一套接口。
证书最长有效期从 398 天缩短到 200 天,2029 年起只有 47 天。靠技术支持人员为上百家客户手动更换证书的模式无法持续,一次遗漏就可能变成客户投诉。
客户证书分散在销售个人邮箱、工单附件与客户服务器里,哪张证书部署在哪里、何时到期无从查起,人员变动后续费与售后都会断档。
企业客户的 OV / EV 证书需要提交营业执照、配合 CA 电话回访,资料不全或流程不熟会让订单卡上好几天,占用销售与技术支持大量时间。
EncryptionSign 为渠道伙伴提供“一个货源、一套接口、一个代管平台”:多品牌证书通过同一账户与分销 API 采购,客户证书在同一平台按项目代管,验证、部署、续期与监控由平台自动执行,伙伴可以把精力放在客户开发与服务上。
渠道客户的需求差异很大:个人站长只看价格,中小企业要兼顾品牌与价格,金融与上市公司要求一线 CA,政企项目关注国产品牌与资料不出境。EncryptionSign 一个账户即可采购入门 DV 品牌 PositiveSSL、AlphaSSL、GoGetSSL,主流品牌 Sectigo、GeoTrust、Thawte、Certum,高端品牌 DigiCert、GlobalSign,以及国产品牌 sslTrus、KeepTrust,覆盖 DV、OV、EV 与单域名、通配符、多域名、公网 IP 等类型,支持批量申请。
已有自有控制面板或业务系统、订单量较大的伙伴,通过分销 API 的多品牌统一下单接口,把证书销售嵌入现有流程;以服务为主的伙伴,直接在控制台为客户下单、验证与部署,平台自动生成 CSR 与密钥对,也支持客户在自己的服务器上本地生成 CSR。技术能力较强的客户还可以使用 ACME(含 EAB)、RESTful API 与 Webhook 自行接入,详见云与 DevOps 解决方案。
为每个客户建立项目,按项目分配成员与角色,分别控制申请、部署与查看权限。客户证书签发后,平台通过部署代理 / SSH 或云平台 API 自动部署到 Nginx、Apache、IIS、Tomcat、宝塔面板、1Panel、Kubernetes 以及阿里云、腾讯云、华为云 CDN 与负载均衡等目标,部署后自动校验;在服务期内到期前自动续签并生成续期报告。所有操作记录审计日志,人员变动时只需调整项目成员。
平台支持用户专属价格,采购从账户余额扣款,可通过收银台使用微信支付、支付宝等在线充值;平台可根据合作情况为账户设定透支(信用)额度,避免客户紧急续期时因充值不及时而延误。额度大小与具体价格政策请联系商务确认。
证书专家 7×24 小时在线,协助伙伴完成证书选型、域名验证排错、OV / EV 审核资料准备与部署问题处理,减少伙伴自建证书技术团队的投入。
IDC 与主机服务商侧重 API 对接与批量供货,建站服务商与 MSP 侧重客户证书代管与自动续期,系统集成商侧重 OV / EV、国产品牌与项目交付。同一个伙伴也可以组合使用多种方式。
| 伙伴类型 | 典型客户与业务 | 主要证书需求 | 推荐使用方式 |
|---|---|---|---|
| IDC、云与主机服务商 | 云服务器、VPS 与虚拟主机用户 | DV 单域名与通配符为主,数量大、价格敏感 | 分销 API 接入自有控制面板,客户在面板内自助下单;批量申请 |
| 建站服务商、网站开发公司 | 企业官网、商城与小程序项目 | DV / OV,部署在宝塔面板、1Panel 或云服务器 | 控制台为每个客户建立项目,自动部署到宝塔面板 / 1Panel,到期自动续期 |
| MSP、运维外包服务商 | 托管客户的服务器、云资源与网站 | 多品牌、多类型证书并存,需要统一视图 | 证书资产集中管理 + 证书监控(含客户自购证书),告警推送到企业微信、钉钉、飞书或 Webhook |
| 系统集成商、软件开发商 | 政企、教育、医疗等项目交付 | OV / EV、国产品牌、国密 SM2,偶有代码签名需求 | 证书专家协助审核与国密方案选型;代码签名、文档签名单独咨询 |
具体接口能力与调用方式以 API 文档为准,接入前可联系技术支持获取对接说明。
代管意味着伙伴会接触客户的域名验证权限、服务器部署权限,甚至证书私钥。建议在合作开始时与客户书面约定:私钥由谁生成、保存在哪里;证书部署到哪些服务器与 CDN;DNS 与服务器授权的范围;到期续费的流程;以及停止服务时证书、私钥与授权如何交接与回收。清晰的边界既保护客户,也保护伙伴自身。
渠道伙伴推荐证书的基本原则是:按客户是否需要证明企业身份选验证级别,按域名数量与结构选域名类型,按预算与合规要求选品牌。下表按常见客户类型给出建议,品牌均可在 EncryptionSign 采购。
| 客户类型 / 场景 | 推荐证书类型 | 推荐品牌 | 理由 |
|---|---|---|---|
| 个人站长、小微企业展示站 | DV 单域名 | PositiveSSL、AlphaSSL、GoGetSSL | 价格敏感、无需资料,DNS 自动验证后全自动签发与续期 |
| 中小企业官网与商城 | OV 单域名或 DV 通配符 | Sectigo、GeoTrust、Thawte | 展示企业身份、价格适中;同一品牌可从 DV 升级到 OV / EV |
| 金融、支付、上市公司与大型品牌 | EV / OV | DigiCert、GlobalSign | 一线 CA 品牌,EV 执行最严格的组织审核;EV 不支持通配符 |
| 政企、国企、教育与医疗项目 | OV、国密 SM2、国产根 | KeepTrust、sslTrus | 国产品牌;KeepTrust 审核签发在国内完成、资料不出境;国密需与 RSA / ECC 双证书部署 |
| SaaS、多子站与多品牌客户 | 通配符 / 多域名 | AlphaSSL、Sectigo、GlobalSign | 一张证书覆盖多个子域名或多个域名,减少证书数量与续期操作 |
| 通过公网 IP 访问的设备与系统 | 公网 IP 证书 | GoGetSSL(Public IP SAN)、KeepTrust | 没有域名时为公网 IP 启用 HTTPS;私有 IP 不能申请公共信任证书 |
| 软件开发商与开源项目 | 代码签名证书(OV / EV) | Sectigo、DigiCert、Certum | 私钥须存放在硬件或云签名服务中;Certum 提供 Open Source Code Signing;需咨询订购 |
EncryptionSign 把证书采购、交付与长期运维整合在一个平台上,下面六项能力是渠道伙伴开展证书业务最常用的部分。
11 家 CA 品牌在线下单,覆盖 DV / OV / EV 与单域名、通配符、多域名、公网 IP;自动生成 CSR 与密钥对,支持批量申请。
多品牌统一下单接口,配合 RESTful API、Webhook 与 ACME(含 EAB),把证书销售与交付嵌入伙伴自有控制面板与业务系统。
按客户建立项目,按项目分配成员与角色,分别控制申请、部署与查看权限;申请、验证、部署全过程记录操作审计日志。
用户专属价格;账户余额支付,可通过收银台使用微信支付、支付宝等在线充值;平台可根据合作情况设定透支(信用)额度。
DNS API 或 CNAME 委托自动验证,签发后自动部署到 Nginx、IIS、宝塔面板、1Panel 与主流云 CDN / 负载均衡,服务期内到期前自动续签并生成续期报告。
30 / 15 / 7 / 1 天多级到期提醒,检测证书链、吊销状态、域名匹配与 TLS 配置;客户在其他渠道购买的证书也可纳入监控,告警发送到邮件、短信、企业微信、钉钉、飞书或 Webhook。
从开通账户到持续运营,渠道伙伴通常按以下四步开展证书业务;平台能力注册后即可使用,价格与额度等合作政策需与商务确认。
注册 EncryptionSign 账户并联系商务,说明业务类型、客户规模与品牌需求,确认专属价格、信用额度与合作政策。
已有自有面板、订单量大的伙伴对接分销 API;以服务为主的伙伴直接在控制台为客户下单与代管;也可以两种方式并用。
为每个客户建立项目并分配成员与角色;把客户现有域名导入证书监控,梳理即将到期与在其他渠道购买的证书。
配置 DNS 验证与部署目标,开启自动续期;根据到期提醒与续期报告跟进客户续费,定期回顾客户证书资产。
注册 EncryptionSign 账户后,多品牌下单、批量申请、自动验证、自动部署、自动续期、证书监控、项目与角色、操作审计与在线充值等平台能力即可使用;用户专属价格与透支(信用)额度由平台为账户设定;合作形式、价格体系与结算方式等具体合作政策,需要与商务确认。下表列出两者的边界,便于伙伴评估。
| 事项 | 平台已提供 | 需与商务确认 |
|---|---|---|
| 证书货源 | 11 家 CA 品牌在线下单、批量申请 | 特定品牌或产品的供货与价格政策 |
| 系统对接 | 分销 API、RESTful API、Webhook、ACME(含 EAB) | 对接方式与联调安排 |
| 价格 | 用户专属价格(由平台为账户设定) | 价格档位与调整规则 |
| 资金与结算 | 账户余额支付;收银台在线充值(微信支付、支付宝等) | 透支(信用)额度的大小与结算方式 |
| 客户管理 | 客户证书集中代管、项目与角色、操作审计日志、证书监控与告警 | — |
| 技术支持 | 7×24 小时证书专家支持,协助选型、验证、OV / EV 审核与部署 | — |
| 合作形式 | — | 合作模式、品牌展示、返佣等是否提供及具体条款,本页不作承诺 |
如需了解合作政策,请发送邮件至 support@encryptionsign.com,注明公司名称、伙伴类型、预计客户规模与主要品牌需求,商务人员会与您联系。
渠道伙伴代管客户证书时,会接触客户的私钥、DNS 与服务器授权,以及 OV / EV 审核资料(营业执照、联系人姓名与电话等),因此需要按照《数据安全法》《个人信息保护法》的要求做好访问控制与加密保护,并为客户的等保、密评与 PCI DSS 需求提供相应的证书方案。
| 关注点 | 依据 | 建议做法 |
|---|---|---|
| 审核资料中的个人信息 | 《个人信息保护法》(2021 年 11 月 1 日施行)第五十一条:采取加密、去标识化等安全技术措施 | 资料只通过加密渠道提交,不在聊天工具与个人邮箱中流转;按项目限制查看权限 |
| 客户数据与证书资产 | 《数据安全法》(2021 年 9 月 1 日施行) | 证书资产集中管理,操作审计日志留痕;人员离职时及时回收项目权限 |
| 客户私钥 | 私钥泄露即需吊销证书 | 优先在客户服务器本地生成 CSR 与私钥,私钥无需上传平台;由平台生成时私钥加密存储,仅通过加密通道下发到授权的部署目标 |
| 等保与密评客户 | GB/T 22239-2019 第三级要求采用密码技术保证通信过程中数据的完整性与保密性;GB/T 39786-2021 密评;国密 TLCP(GB/T 38636-2020) | 推荐国产品牌 SM2 证书与 RSA / ECC 双证书部署,参考政企与教育解决方案 |
| 要求资料不出境的客户 | 客户自身的数据管理要求 | 选择审核签发在国内完成、资料不出境的 KeepTrust |
| 支付与金融客户 | PCI DSS v4.0 要求 4.2.1(证书有效、未过期未吊销)与 4.2.1.1(受信任密钥与证书清单,2025 年 3 月 31 日起强制) | 证书监控与资产清单;参考金融保险解决方案与电商零售解决方案 |
| 证书中的域名公开可见 | 证书透明度(CT,RFC 6962):Chrome 自 2018 年 4 月起要求新证书带有 SCT | 提醒客户不要把敏感的内部主机名写入公共证书;可在 crt.sh 核查客户域名已签发的证书 |
以下建议来自证书代管与续费服务中的常见问题,左侧为推荐做法,右侧为需要避免的做法。
关于分销 API、客户证书代管、专属价格、信用额度、OV / EV 审核与有效期新规,渠道伙伴最常问的问题。
支持。EncryptionSign 面向 IDC、云与主机服务商、建站服务商、MSP 与系统集成商,提供多品牌货源、分销 API、客户证书集中代管、用户专属价格、账户余额与可由平台设定的透支(信用)额度。注册账户后即可在控制台为客户下单与代管证书;合作形式、价格体系与额度等具体合作政策,请发送邮件至 support@encryptionsign.com 联系商务确认。
一个账户可采购 11 家 CA 品牌的证书:国际品牌 Sectigo、DigiCert、GlobalSign、GeoTrust、Thawte、Certum、AlphaSSL、PositiveSSL、GoGetSSL,以及国产品牌 sslTrus(锐安信)与 KeepTrust(环安信)。产品覆盖 DV、OV、EV 验证级别与单域名、通配符、多域名、公网 IP 等类型;代码签名、S/MIME 邮件与文档签名证书暂不支持在线下单,可由证书顾问协助。
分销 API 提供多品牌统一下单接口,适合把证书销售嵌入伙伴自有的控制面板或业务系统:客户在伙伴的面板中选择证书并下单,订单通过 API 提交到 EncryptionSign,验证与签发后由伙伴系统交付,或由平台自动部署到客户服务器。平台同时提供 RESTful API、Webhook 与 ACME(含 EAB),具体接口能力与调用方式以 API 文档为准,接入前可联系技术支持获取对接说明。
可以。客户证书集中代管是渠道方案的核心能力:建议为每个客户建立一个项目,按项目分配成员与角色,分别控制申请、部署与查看权限;证书的申请、验证、部署与续期在同一平台完成,全过程记录操作审计日志。销售或技术人员变动时,只需调整项目成员,客户证书不会因人员交接而“失联”。
证书价格取决于验证级别、域名类型、数量与年限,登录 EncryptionSign 控制台“证书价格”页可查看实时一年期价格。平台支持用户专属价格,企业与渠道客户可申请专属价;具体价格政策请联系商务确认,本页不公布折扣或价格档位。
账户默认使用余额支付,可通过收银台使用微信支付、支付宝等在线充值。平台可以根据合作情况为账户设定透支(信用)额度,在额度范围内余额不足时仍可下单,避免客户紧急续期时因充值不及时而延误。额度大小与结算方式由平台评估设定,请联系商务。
OV / EV 证书由 CA 核验组织身份:通常需要营业执照等组织证明文件、完成域名验证,并配合 CA 的电话回访或第三方数据库核验,EV 的审核项更严格。EncryptionSign 证书专家 7×24 小时在线,可协助伙伴准备审核资料、解答 CA 的核验要求并跟进进度。组织身份信息的复用期为 398 天,同一客户在复用期内再次申请或重签 OV / EV 证书,通常只需重新完成域名验证(以 CA 为准)。
会改变业务形态。根据 CA/浏览器论坛 SC-081 决议,单张证书最长有效期 2026 年 3 月 15 日起为 200 天,2027 年 3 月 15 日起为 100 天,2029 年 3 月 15 日起为 47 天。客户购买的仍是一年或多年的服务期,CA 在订单期内多次重新签发证书,EncryptionSign 在服务期内自动重签并部署。手动替换证书的服务模式成本会越来越高,伙伴的价值将转向自动化托管、监控与续费服务。
可以纳入证书监控。导入客户的域名后,平台会检测证书有效期、证书链、吊销状态、域名匹配与 TLS 配置,平台外签发的证书同样可以监控,并按 30 / 15 / 7 / 1 天多级提醒。伙伴可以据此提前联系客户,在证书到期前完成续费或迁移,并在后续由平台自动续期与部署。
本页介绍的是 EncryptionSign 平台已经提供的能力:多品牌货源、分销 API、客户证书集中代管、用户专属价格、账户余额与可由平台设定的信用额度。合作形式、品牌展示、价格体系、结算方式以及是否提供贴牌、返佣等具体合作政策,请联系商务,以双方确认的合作协议为准,本页不作任何承诺。
本文由 EncryptionSign 证书技术团队依据以下公开标准与资料整理,最后更新于 。CA 产品名称、验证规则与行业政策可能调整,请以 CA 官方与 CA/浏览器论坛最新发布为准;如需确认,请联系 support@encryptionsign.com。