政企与教育 HTTPS 与 SSL 证书解决方案

门户网站、网上办事与教务等业务系统推荐 OV 证书，证书中写入经核验的单位名称，公众可在证书详情中确认网站主体；下属单位与院系子站众多时，可为每个单位申请 OV 或 DV 通配符证书；等保第三级与密评相关系统加配 SM2 国密证书。品牌上，要求国内审核签发选 KeepTrust（环安信），需要 EV 或多域名的国产品牌选 sslTrus（锐安信）。

两者都是国产品牌。KeepTrust（环安信）的中间证书由上海市数字证书认证中心（SHECA）签发，采用国产根 + 国外交叉根，审核与签发在国内完成、资料不出境、OCSP 本地化，提供 DV、OV（含 SM2 国密版），单域名、通配符与公网 IP 证书。sslTrus（锐安信）采用多可信根体系，标准版与增强版链接国际根证书，另有国产根与国密版本，覆盖 DV、OV、EV 与多域名。明确要求资料境内审核选 KeepTrust，需要 EV 或多域名选 sslTrus。

以 KeepTrust 为例，证书链采用国产根并搭载国外交叉根，根据公开的证书透明度数据，已被 Chrome、Microsoft、Mozilla 等主流根证书库信任；Apple（macOS、iOS、Safari）等特定环境请在购买前咨询确认。sslTrus 国产根版本的兼容性以根证书在各平台的收录情况为准。面向公众、终端复杂的网站，建议同时保留国际根证书或选用 sslTrus 标准版 / 增强版，并在上线前多端实测。

国密 SSL 即传输层密码协议 TLCP（GB/T 38636-2020），使用 SM2、SM3、SM4 算法，需要服务器与客户端（如国密浏览器）同时支持。通用版 Chrome、Safari 等浏览器默认不支持 TLCP，只部署 SM2 证书会导致普通用户无法访问，因此通常 SM2 证书与 RSA 或 ECC 证书双证书部署：支持国密的客户端走 TLCP，其他客户端走国际算法 TLS。KeepTrust 与 sslTrus 均提供 SM2 证书。

不能简单等同。GB/T 22239-2019 第三级要求采用密码技术保证通信过程中数据的完整性与保密性，密评依据 GB/T 39786-2021 评估整个信息系统的密码应用，包括物理和环境、网络和通信、设备和计算、应用和数据等层面。证书只覆盖网络和通信层面的传输加密，系统能否通过测评以测评机构的结论为准。

在 EncryptionSign 中为每个下属单位、委办局或院系建立项目，按项目分配成员与角色：各单位成员管理本单位证书的申请与部署，信息中心拥有全部项目的查看与管理权限，所有操作记录在审计日志中。各单位自行采购、不在平台签发的证书，也可以纳入平台监控，由信息中心统一掌握到期时间。

可以使用 CNAME 委托验证：请 DNS 管理方为每个需要验证的域名一次性添加一条指向验证服务的 CNAME 记录，此后签发与续期所需的验证记录由平台自动维护，不需要开放整个域名的 DNS API 权限。单域名证书也可以使用 HTTP 文件验证或邮箱验证；通配符证书只能使用 DNS 类验证。

只能部分申请。公共信任证书只能为公网可解析的域名或公网 IP 签发，内网域名（如 .local、.lan）与私有 IP 地址自 2015 年起不能出现在公共信任证书中。校园网系统如果使用学校公网域名（如 xxx.edu.cn 的子域名），即使只在校内访问，也可以申请证书并用 DNS 验证，但证书中的域名会公开记录在证书透明度日志中；纯内网域名与私有 IP 应使用单位内部 PKI。

价格取决于品牌、验证级别、域名类型、数量与年限：DV 低于 OV，通配符与多域名证书按覆盖范围计价，国产根与国密版本单独定价。登录 EncryptionSign 控制台的“证书价格”页面可查看实时一年期价格；集团与高校统一采购可申请专属价，并可联系证书顾问确认国密部署方案。