单域名 SSL 证书

什么是单域名 SSL 证书？

单域名 SSL 证书（Single Domain SSL Certificate）是证书中只包含一个完全限定域名（Fully Qualified Domain Name，FQDN）的 SSL/TLS 证书。FQDN 是包含主机名在内的完整域名，例如 www.example.com、shop.example.com 或 example.com；浏览器只有在访问地址的主机名与证书中的域名完全一致时，才认为证书有效。

证书中的域名写在 X.509 证书的“主题备用名称”（Subject Alternative Name，SAN）扩展中（RFC 5280）。CA/浏览器论坛的基线要求规定 SSL 证书必须包含 SAN 扩展，传统的“通用名称”（Common Name，CN）字段如果存在，也必须是 SAN 中的某一项，现代浏览器只依据 SAN 匹配域名。因此，“单域名”准确地说是指 SAN 中只有一个主机名，再加上部分产品附带的 www 或根域名。

单域名证书保护的是“主机名”，与路径和端口无关：https://www.example.com/、/shop/、/api/v1/ 以及 https://www.example.com:8443/ 使用的都是同一张证书；但 shop.example.com、example.net 等不同的主机名不在保护范围内。

示例证书包含的域名：www.example.com example.com（附带）

单域名与验证级别是两个独立的维度

“单域名”描述证书覆盖的域名数量，“DV / OV / EV”描述 CA 对申请者身份的验证程度，两者可以自由组合：

• DV 单域名：只验证域名控制权，最快数分钟签发，适合个人网站、测试环境与 API，详见 DV 证书；
• OV 单域名：核验组织真实性，证书中写入组织名称与所在地，适合企业官网与业务系统，详见 OV 证书；
• EV 单域名：最严格的组织审核，证书中包含注册号与注册地；EV 不支持通配符，单域名是 EV 最常见的形式，详见 EV 证书。

加密强度与验证级别、域名数量都无关：无论 DV 还是 EV、单域名还是多域名，都使用 RSA 2048 位及以上或 ECC P-256 / P-384 等相同强度的算法。

IP 地址可以申请 SSL 证书吗？

可以。公网 IP 地址可以申请公共信任的 SSL 证书，多为 DV 或 OV 级别；内网 IP（如 10.x.x.x、172.16–31.x.x、192.168.x.x）与内网主机名自 2015 年起不能出现在公共信任证书中，EV 证书也不能包含 IP 地址。IP 证书把 IP 地址写入证书 SAN 的 iPAddress 字段（而不是域名使用的 dNSName 字段），浏览器访问 https://203.0.113.10 这样的地址时直接与之匹配。

IP 证书与 IP 地址绑定，云服务器释放、更换公网 IP 后证书就无法继续使用。对外长期提供服务时，仍建议为服务分配一个域名：域名可以随时改解析迁移服务器，也便于接入 CDN 与负载均衡。

内网服务怎么启用 HTTPS？

内网服务不能使用内网主机名或私有 IP 申请公共信任证书，常见做法有两种：一是给内网服务使用公网域名下的子域名（如 oa.example.com），内网 DNS 解析到私有地址，公网 DNS 只用于完成 DNS 验证；二是由企业自建私有 CA 签发内部证书，并把私有根证书分发到员工设备。前者无需在设备上安装根证书，但证书会出现在公开的证书透明度日志中，主机名对外可见。