证书资产说不清
网上银行、手机银行、开放 API、营销活动、分支机构、外包系统与测试环境各有证书，常以百计，分散在不同团队、云账户与采购渠道中；审计或检查时，很难拿出完整、准确的证书清单。
解决方案金融保险 · 身份背书 · 全量审计
金融保险 HTTPS 与 SSL 证书解决方案
金融保险 HTTPS 解决方案是 EncryptionSign 为银行、证券、基金、保险、支付与消费金融机构设计的 SSL 证书治理方案：网上银行、交易与投保入口使用 EV / OV 证书展示经严格核验的机构身份；全部内外部系统的证书纳入统一资产清单与持续监控；按项目分配角色，配合审批流程与操作审计日志管控每一次申请与部署；高敏感系统支持本地生成私钥；等保第三级与密评相关系统支持 SM2 国密证书与 RSA / ECC 证书双体系部署。单张证书有效期 2026 年缩短到 200 天、2029 年缩短到 47 天之后，这套方案把证书续期从人工操作变为可审计的自动化流程。
金融保险方案要点速览
一句话回答：金融机构的证书方案重点不在“买哪张证书”，而在“证书治理”：对外交易入口用 EV / OV 证书证明机构身份；全部证书进入一份可审计的资产清单；谁能申请、谁能部署由角色权限与审批流程决定，每次操作都有审计日志；高敏感系统本地生成私钥；密评系统采用 SM2 国密与 RSA / ECC 双证书。EncryptionSign 在此基础上自动完成验证、部署、续期与监控，应对 200 天乃至 47 天的证书有效期。
- 身份背书：网上银行、交易、投保与支付入口推荐 EV 或 OV 证书，证书中写入经 CA 核验的机构名称与注册信息。
- 证书清单：PCI DSS v4.0 要求 4.2.1.1 规定维护受信任密钥与证书清单，自 2025-03-31 起强制执行。
- 变更管控：按项目分配成员与角色，配合审批流程与操作审计日志，申请、验证、部署全程留痕。
- 私钥安全：高敏感系统可在本地生成私钥、只提交 CSR，私钥不离开机构环境。
- 国密改造：国密 SSL 即 TLCP（GB/T 38636-2020），通常与 RSA / ECC 证书双证书部署以兼容普通浏览器。
- 有效期：单张 SSL 证书最长 2026-03-15 起 200 天、2029-03-15 起 47 天，人工续期难以为继。
Challenges
金融保险机构在证书管理上面临哪些挑战？
金融机构的证书问题不只是“会不会过期”，更在于“能否说清楚、管得住、查得到”：证书数量多、系统分散、合规要求高，任何一次失控都可能影响客户交易或监管检查。
身份仿冒与钓鱼风险
仿冒银行、保险官网的钓鱼网站同样可以申请 DV 证书并显示锁形图标。金融机构需要在证书中写入经严格核验的机构身份，并监控本机构域名下签发的证书，及时发现异常签发。
合规与内控要求严格
等保 2.0 第三级要求采用密码技术保证通信过程中数据的完整性与保密性，密评关注商用密码应用的合规、正确与有效；证书的每次申请与更换都需要权限控制、审批与可追溯记录。
有效期缩短带来续期压力
单张证书最长 200 天、2029 年起 47 天，意味着每张证书每年至少更换 2 次、未来约 8 次。金融系统变更窗口严格、审批链条长，人工排期续期既占用变更资源，又极易遗漏。
典型场景：一家机构的手机银行后端、开放平台网关与营销小程序分别由三个团队维护，证书分别从三个渠道采购；其中一张证书过期后，客服才通过客户投诉发现问题。方案要解决的，正是这种“证书分散、无人统管、事后发现”的状态。
金融保险证书治理方案如何构建？
EncryptionSign 金融保险方案以“证书治理”为核心：先把全部证书纳入一份可审计的清单，再按系统风险分级选用证书，以角色权限、审批流程与审计日志约束每一次变更，最后由平台自动执行验证、部署、续期与监控。方案由五个部分组成。
1. 建立完整的证书资产清单
证书清单是金融机构证书治理的起点，也是 PCI DSS v4.0 要求 4.2.1.1 的直接要求。EncryptionSign 的证书资产视图统一展示多品牌、多账户的证书，平台外签发的证书（如其他渠道采购、云厂商签发、外包商部署的证书）也可以纳入监控。建议清单至少包含：域名、证书品牌与验证级别、到期时间、部署位置、所属系统与负责人。定期把清单与证书透明度日志（如 crt.sh）比对，还可以发现未经授权在本机构域名下签发的证书。
2. 按系统风险分级选用证书
直接面向客户的交易入口使用 EV 或 OV 证书；手机银行与开放 API 后端使用 OV 证书，保持稳定的证书链；营销活动、积分商城与分支机构子站使用 OV 通配符证书，但与核心交易域名分开签发，避免一张通配符证书的私钥分散在多个外包团队手中。
| 级别 | 典型系统 | 证书策略 | 管控要点 |
|---|---|---|---|
| 一级：对外交易 | 网上银行、网上营业厅、在线投保与理赔、支付收银台 | EV / OV 单域名或多域名，独立签发 | 本地生成私钥；变更需审批；部署后多端验证 |
| 二级：移动与开放接口 | 手机银行 / 保险 App 后端、开放平台网关、合作方 API | OV 单域名，RSA 与 ECC 可并行 | 关注 App 证书固定策略；证书链稳定 |
| 三级：营销与分支机构 | 活动专题、积分商城、分支机构与代理人站点 | OV 通配符或多域名 | 与交易域名隔离私钥；按项目分配负责人 |
| 国密通道 | 等保第三级、密评相关系统 | SM2 国密证书 + RSA / ECC 证书 | 需支持 TLCP 的服务器或网关；国密与普通浏览器分别验证 |
| 内部运营 | 公网可访问的办公、运营与管理后台 | OV 单域名或通配符 | 纯内网系统改用机构内部 PKI |
3. 权限、审批与审计：让每一次变更可追溯
EncryptionSign 按项目分配成员与角色，精细控制申请、部署与查看权限：例如网银项目的运维人员只能部署本项目证书，安全团队拥有全部项目的查看权限，外包人员只获得完成工作所需的最小权限（具体角色设置以控制台为准）。配合审批流程与操作审计日志，申请、验证、签发、部署的全过程都会留下记录，满足企业内控与合规审计的要求。
4. 私钥保护：本地生成，只交 CSR
私钥是证书安全的根本。对一级系统，建议在机构自有服务器或密码设备上本地生成私钥，只向平台提交 CSR，私钥不离开机构环境；平台负责下单、域名验证、签发、到期提醒与监控，证书安装按机构内部变更流程执行。二、三级系统可以由平台自动生成 CSR 与密钥对，并通过部署代理或云平台 API 自动部署与续期。无论哪种方式，都建议每次续期生成新的密钥对，而不是长期复用同一私钥。
5. 国密双体系与移动端
对等保第三级与密评相关系统，方案采用“SM2 国密证书 + RSA / ECC 证书”的双体系部署：支持 TLCP（GB/T 38636-2020）的客户端（如国密浏览器）使用 SM2 / SM3 / SM4 完成握手，普通浏览器继续使用国际算法 TLS。国密证书在 TLCP 中通常以签名证书与加密证书成对使用，服务器端需要支持 TLCP 的 Web 服务器、国密网关或负载均衡设备，具体部署方式可与证书顾问确认。手机银行与保险 App 方面，Apple ATS 要求 App 默认使用 HTTPS（TLS 1.2 及以上）；如果 App 采用证书固定，应固定上级 CA 公钥并预置备用指纹，而不是固定频繁更换的叶子证书。
Certificates
金融保险各业务系统推荐使用哪些证书？
金融机构推荐的证书组合是：对外交易入口用 EV / OV，移动与开放接口用 OV，营销与分支机构用 OV 通配符或多域名，密评系统加配 SM2 国密证书。下表按业务系统给出具体建议。
| 业务系统 / 场景 | 推荐证书类型 | 推荐品牌 | 理由 |
|---|---|---|---|
| 网上银行、网上营业厅、在线投保与理赔 | EV 单域名 / 多域名 | DigiCert、GlobalSign、Sectigo | 最严格组织审核，证书含机构名称、注册号与注册地；EV 不支持通配符 |
| 机构官网与信息披露站点 | EV 或 OV 多域名 | DigiCert、GlobalSign、Thawte | 多个品牌与产品域名合并到一张证书，统一续期与审计 |
| 支付收银台与支付回调地址 | EV / OV 单域名 | DigiCert、GeoTrust | 涉及支付数据，PCI DSS 4.2.1 要求证书有效、未过期未吊销 |
| 手机银行 / 保险 App 后端 API | OV 单域名，RSA 与 ECC 并行 | DigiCert、GeoTrust、GlobalSign | ATS 要求 TLS 1.2 及以上；兼容性广、证书链稳定，便于证书固定策略 |
| 开放平台与合作方 API 网关 | OV 单域名或多域名 | GlobalSign、Sectigo、DigiCert | 合作方系统可核对证书中的机构身份 |
| 营销活动、积分商城与分支机构子站 | OV 通配符或多域名 | Sectigo、GlobalSign、GeoTrust | 子域名多、上线快；与交易域名分开签发，隔离私钥 |
| 等保第三级 / 密评系统的国密通道 | SM2 国密证书 + RSA / ECC 证书 | sslTrus、KeepTrust | 国密客户端走 TLCP，其他客户端走国际算法 TLS |
| 公网可访问的内部运营与办公系统 | OV 单域名或通配符 | KeepTrust、sslTrus、GlobalSign | KeepTrust 审核签发在国内完成、资料不出境；用户以内部员工为主 |
注意：内网域名（如 .local、.corp）与私有 IP 地址自 2015 年起不能出现在公共信任证书中，纯内网系统应使用机构内部 PKI 签发的证书。OV / EV 证书的组织身份信息最长复用 398 天，超过后需重新核验机构资料，建议在年度采购计划中预留审核时间。
Platform
平台能力如何落地到金融场景？
EncryptionSign 为金融机构提供的不只是证书签发，更是一套可审计的证书管理流程，下面六项能力对应金融场景的核心需求。
证书资产清单
多品牌、多账户证书统一视图，平台外签发的证书也可纳入监控，形成覆盖全部对外系统的证书清单，可作为 PCI DSS 4.2.1.1 证书清单维护与内部检查的依据。
角色权限与审批流程
按项目（如网银、手机银行、开放平台、分支机构）分配成员与角色，精细控制申请、部署与查看权限，配合审批流程，避免任何人随意签发或替换证书。
操作审计日志
申请、验证、签发、部署全过程留痕，可追溯操作人、时间与对象，满足企业内控、内审与外部检查对证书变更记录的要求。
本地私钥与 CSR
支持本地生成私钥并提交 CSR，私钥不离开机构环境；一般系统也可由平台自动生成 CSR 与密钥对，并自动部署与续期。
持续监控与多渠道告警
检测有效期、证书链、吊销状态、域名匹配与 TLS 配置，30 / 15 / 7 / 1 天多级提醒；告警推送到邮件、短信、企业微信、钉钉、飞书，或通过 Webhook 接入监控与工单系统。
自动续期、部署与回滚
服务期内到期前自动重签并部署到 Nginx、Apache、IIS、Tomcat、Kubernetes 与云负载均衡，部署后自动校验，异常可回滚；续期报告可用于变更复盘。
EncryptionSign 证书技术专家 7×24 小时在线，可协助金融机构完成 EV / OV 审核资料准备、品牌选型、国密双证书部署方案确认与上线验证。
Implementation
金融机构如何分四步实施证书治理？
金融机构通常按“先摸清、再立规、后自动化”的顺序实施，首阶段只纳入监控、不改变现有部署，降低对生产系统的影响。
盘点与分级
收集全部对外域名与现有证书，纳入平台监控形成证书清单；按交易、移动与接口、营销与分支、国密、内部运营分级，标出负责人与到期时间。
建立权限与流程
按系统建立项目，分配成员与角色，配置审批流程；明确哪些系统本地生成私钥、哪些由平台托管部署，并把告警接入值班与工单系统。
选型、审核与签发
一级系统选用 EV / OV 并准备机构审核资料，营销系统选用 OV 通配符，密评系统确认 SM2 国密双证书方案；授权 DNS API 或使用 CNAME 委托完成域名验证。
部署、续期与审计
在变更窗口内完成首次部署与多端验证；之后由平台在到期前自动续期、部署与校验，定期复核审计日志与续期报告，比对证书清单与 CT 日志。
金融机构的证书管理需要满足哪些合规要求？
金融机构证书管理涉及三类要求：国家网络安全与数据保护法律（《网络安全法》《数据安全法》《个人信息保护法》），密码应用与等级保护要求（《密码法》《商用密码管理条例》、等保 2.0 与密评），以及处理银行卡数据时的 PCI DSS。下表列出与 HTTPS 证书直接相关的条目。
| 法规 / 标准 | 与证书相关的要求 | 方案中的对应做法 |
|---|---|---|
| 《网络安全法》（2017-06-01 施行） | 确立网络运营者的网络安全保护义务与网络安全等级保护制度 | 全部对外系统 HTTPS，证书持续监控 |
| 《数据安全法》（2021-09-01 施行） | 开展数据处理活动应当履行数据安全保护义务 | 交易与客户数据传输加密，变更留痕 |
| 《个人信息保护法》（2021-11-01 施行）第五十一条 | 采取加密、去标识化等安全技术措施 | 开户、投保、理赔等含个人信息的页面强制 HTTPS |
| 《密码法》（2020-01-01 施行）、《商用密码管理条例》（2023 年修订，2023-07-01 施行） | 规范商用密码的使用与管理，对关键信息基础设施等重要系统的商用密码应用与安全性评估提出要求 | 密评相关系统采用 SM2 国密证书 |
| 网络安全等级保护基本要求 GB/T 22239-2019 | 第三级要求采用密码技术保证通信过程中数据的完整性与保密性 | 三级系统全链路 TLS，国密通道按需部署 |
| 信息系统密码应用基本要求 GB/T 39786-2021 | 密评的主要依据之一，HTTPS 传输加密属于网络和通信层面 | SM2 国密与 RSA / ECC 双体系部署 |
| 传输层密码协议 TLCP GB/T 38636-2020 | 使用 SM2 / SM3 / SM4，需服务器与客户端均支持 | 支持 TLCP 的服务器或网关 + 国密浏览器 |
| PCI DSS v4.0 / v4.0.1 要求 4.2.1 与 4.2.1.1 | 强加密并确认证书有效、未过期未吊销；维护受信任密钥与证书清单（2025-03-31 起强制） | 证书资产清单、吊销与有效期监控 |
金融行业监管部门近年来持续对网络安全、数据安全与密码应用提出要求，推动重要信息系统的国密改造与密码应用安全性评估；具体适用的行业标准与监管文件，以机构所在领域的最新监管规定为准。
需要强调的是，证书只是密码应用的一个环节。系统能否通过等保测评、密评或 PCI DSS 评估，以测评机构与评估机构对整个系统的结论为准。EncryptionSign 可以提供证书清单、监控记录、续期报告与操作审计日志，作为证书管理环节的证明材料，但不代替测评，也不对测评结果作出承诺。
Best Practices
金融机构证书管理最佳实践清单
以下做法可作为金融机构证书管理制度与年度检查的参考清单。
推荐做法
- 对外交易入口使用 EV / OV 证书，按系统独立签发，不跨系统共享私钥；
- 一级系统本地生成私钥、只提交 CSR，每次续期生成新的密钥对；
- 证书清单覆盖平台内外全部证书，并定期与 CT 日志（crt.sh）比对；
- 为机构域名设置 CAA 记录（RFC 8659），只授权实际使用的 CA；
- App 证书固定改为固定上级 CA 公钥并预置备用指纹；
- 国密双证书上线前，分别用国密浏览器与普通浏览器验证；
- 到期与异常告警通过 Webhook 接入值班与工单系统，形成闭环。
应避免的做法
- 一张通配符证书同时用于核心交易与营销子站，私钥分发给多个外包团队；
- 通过邮件或即时通讯工具传递私钥文件；
- 用电子表格与个人提醒管理证书到期时间；
- 只部署 SM2 国密证书，导致普通浏览器用户无法访问；
- 固定服务器叶子证书指纹，续期即导致 App 无法连接；
- 测试环境长期使用自签名证书，让员工习惯点击“继续访问”。
FAQ
金融保险 HTTPS 方案常见问题
关于金融机构的 EV / OV 选型、品牌选择、国密双证书、等保与密评、PCI DSS 证书清单、私钥与手机银行证书固定，用户最常问的问题。
银行、保险网站应该用 EV 证书还是 OV 证书？
浏览器已经不显示 EV 绿色地址栏，金融机构还有必要用 EV 吗？
Chrome 77 与 Firefox 70 起，地址栏不再显示 EV 企业名称，但 EV 证书中的机构名称、注册号与注册地仍可在证书详情中查看，安全团队、合作方与监管检查也可以据此核对网站主体。EV 的价值在于最严格的身份审核让仿冒者无法以机构名义取得证书；对金融机构而言，它仍是对外交易入口身份背书的较高选择，但不应把它当作防钓鱼的唯一手段。
金融机构应该选择哪个 SSL 证书品牌？
什么是国密 SSL 证书？为什么要和 RSA 证书双证书部署？
国密 SSL 即传输层密码协议 TLCP（GB/T 38636-2020），使用 SM2 公钥算法、SM3 杂凑算法与 SM4 分组算法，需要服务器与客户端（如国密浏览器）同时支持。Chrome、Safari 等通用浏览器默认不支持 TLCP，只部署 SM2 证书会导致普通用户无法访问，因此通常 SM2 证书与 RSA 或 ECC 证书并行部署：支持国密的客户端走 TLCP，其他客户端走国际算法 TLS。
部署了国密证书，能通过等保三级或密评吗？
不能简单等同。GB/T 22239-2019 第三级要求采用密码技术保证通信过程中数据的完整性与保密性，GB/T 39786-2021 是密评的主要依据之一，二者评估的是整个信息系统，包括身份鉴别、密钥管理、数据存储与设备等环节。国密证书只是传输加密环节的组成部分，系统是否达标以测评机构的结论为准。
PCI DSS 4.0 对证书管理有什么要求？
PCI DSS v4.0 要求 4.2.1 规定，在公共网络传输持卡人数据时使用强加密，并确认证书有效、未过期且未被吊销；要求 4.2.1.1 规定维护受信任密钥与证书的清单，自 2025 年 3 月 31 日起强制执行。EncryptionSign 的证书资产视图可纳入平台签发与平台外签发的证书，监控记录有效期、证书链与吊销状态，可作为维护证书清单的工具之一，是否合规以合格评估机构（QSA）的评估结论为准。
证书私钥可以不交给平台吗？
可以。对私钥保管要求高的系统，可以在机构自有服务器或密码设备上本地生成私钥，只向 EncryptionSign 提交 CSR，私钥不离开机构环境；平台负责下单、域名验证、签发、到期提醒与监控，证书安装可按机构内部变更流程执行。一般系统也可以由平台自动生成 CSR 与密钥对，并自动部署与续期。
手机银行 App 做了证书固定，证书续期会不会导致 App 无法连接？
会有风险。如果 App 固定（pinning）的是服务器叶子证书或其公钥，而续期时更换了密钥，App 就会拒绝连接。2026 年起证书最长 200 天、2029 年起 47 天，叶子证书固定已难以维护。建议改为固定上级 CA 的公钥并预置备用指纹，同时关注 CA 迁移到 TLS 专用新根证书带来的中间证书变化；上线新证书前先在测试版 App 中验证。
金融机构采购 SSL 证书多少钱？
价格取决于品牌、验证级别、域名类型、数量与年限：EV 高于 OV，通配符与多域名证书按覆盖范围计价，国密证书单独定价。登录 EncryptionSign 控制台的“证书价格”页面可查看实时一年期价格；金融机构批量采购可申请专属价，并可联系证书顾问确认选型与国密部署方案。
参考资料与更新说明
本文由 EncryptionSign 证书技术团队依据以下公开标准与资料整理，最后更新于 。CA 产品名称、验证规则与行业政策可能调整，请以 CA 官方与 CA/浏览器论坛最新发布为准；如需确认，请联系 support@encryptionsign.com。
- CA/浏览器论坛（CA/Browser Forum）：TLS 证书基线要求、EV 指南与 SC-081 有效期决议
- PCI 安全标准委员会（PCI SSC）：PCI DSS v4.0 / v4.0.1
- GB/T 22239-2019《信息安全技术 网络安全等级保护基本要求》
- GB/T 39786-2021《信息安全技术 信息系统密码应用基本要求》
- GB/T 38636-2020《信息安全技术 传输层密码协议（TLCP）》
- 《中华人民共和国密码法》与《商用密码管理条例》（2023 年修订）
- 证书透明度日志查询（crt.sh），可核查机构域名下签发的全部公共证书