每个网站都应该有一个 SSL 证书来加密数据并在浏览器中显示挂锁图标。但是在免费的 Let's Encrypt SSL 和付费的 DV/OV/EV SSL 之间——具体区别是什么，哪一个适合你的业务？本文回答了所有问题。
什么是 SSL 证书——快速回顾
SSL（安全套接层），现在技术上称为 TLS（传输层安全），是一种协议，可以加密在用户浏览器和你的网络服务器之间传输的数据，使其无法被拦截。安装了 SSL 的网站在地址栏中显示 https:// 和一个挂锁图标。
Google 也将 HTTPS 用作搜索排名因素，因此拥有 SSL 对安全性和 SEO 性能都有益。
免费 SSL（Let's Encrypt）——它是什么？
Let's Encrypt 是由 Mozilla、EFF 和其他合作伙伴支持的非营利证书颁发机构 (CA)。它向任何人完全免费颁发域名验证 (DV) SSL 证书。有效期只有 90 天，需要更频繁的续期——通常通过 Certbot 或托管控制面板自动进行。
关键事实：从数据安全角度来看，Let's Encrypt 提供的加密强度与付费 SSL 相同。差异在于身份验证、保修范围和向客户显示的信任信号。
付费 SSL 证书的类型
DV SSL（域名验证）
仅验证域名所有权。几分钟内颁发。适合需要 HTTPS 但无需组织身份验证的一般网站、博客和登陆页面。
OV SSL（组织验证）
验证域名和组织详情。需要 1-3 个工作日。公司名称出现在证书详情中。推荐给想要展示可信度的企业。
EV SSL（扩展验证）
最严格的审查程序。需要 3-7 个工作日。过去浏览器用绿色显示公司名称。最适合银行、金融机构和大型电商网站。
免费 SSL vs 付费 SSL 对比表
| 功能 | 免费 SSL（Let's Encrypt） | 付费 SSL（DV/OV/EV） |
|---|---|---|
| 价格 | 免费——无成本 | DV 从 ฿1,000/年起；OV/EV 更高 |
| 验证级别 | 仅域名验证 | DV / OV / EV 取决于购买的等级 |
| 有效期 | 90 天（需要频繁续期） | 1-2 年（更便利） |
| 自动续期 | 可能但需要设置 | 手动续期但不频繁 |
| 保修 | 无保修 | DV: $10,000–$100,000 / OV: 更高 / EV: 最高 |
| 通配符 (*.domain.com) | 支持（Let's Encrypt 通配符） | 支持（价格高于单域名） |
| 浏览器显示 | 标准挂锁——不显示公司名称 | OV/EV: 公司名称在证书详情中可见 |
| 信任级别 | 安全但无组织身份 | OV/EV 清晰验证组织身份 |
| 电商适用性 | 小商店——可以接受 | 大型商店——推荐 OV/EV 以获得客户信任 |
| 品牌 / CA | Let's Encrypt | RapidSSL、GeoTrust、DigiCert（来自 AsiaGB） |
| 多域名（SAN） | 支持一个证书中的多个域名 | 支持（多域名 / SAN SSL） |
| 支持 | 社区论坛 | 来自 CA 和经销商的支持 |
| 在 AsiaGB 托管上 | 免费——通过 DirectAdmin 轻松安装 | 从 ฿1,000/年起——订购请访问 asiagb.com/ssl |
证书类型的颁发过程如何不同
除了验证级别外，获取 SSL 证书的过程在类型之间差异很大——影响你等待多长时间以及需要采取的步骤。
Let's Encrypt——完全自动化
Let's Encrypt 使用 ACME（自动证书管理环境）协议自动颁发证书。Certbot 等工具与 CA 通信以通过以下方法之一证明你控制该域名：
- HTTP-01 挑战：Certbot 在你的网络根目录中创建临时文件；Let's Encrypt 获取它进行验证。
- DNS-01 挑战：在 DNS 中添加 TXT 记录以证明所有权——通配符证书需要此方法。
- TLS-ALPN-01 挑战：通过端口 443 上的 TLS 握手进行验证。
整个过程只需几秒钟。如果你的控制面板支持它——比如 AsiaGB 的 DirectAdmin——自动续期会自动配置，无需手动操作。
付费 DV SSL——快速但需手动
来自 RapidSSL 或 GeoTrust 等 CA 的 DV SSL 使用域名控制验证 (DCV)，类似于 Let's Encrypt，但需要通过经销商系统或直接与 CA 处理。证书通常在 DCV 确认后的 5-15 分钟内颁发。
OV/EV SSL——需要组织验证
OV 和 EV 证书需要 CA 的其他文件和验证——例如公司章程、营业登记文件或电话确认。这根据级别需要 1-7 个工作日。结果是：你的组织名称出现在证书详情中，与客户建立实质性信任。
| 类型 | 颁发时间 | 所需文件 | 有效期 |
|---|---|---|---|
| Let's Encrypt DV | 几秒钟（自动化） | 无 | 90 天 |
| 付费 DV SSL | 5-15 分钟 | 无（仅 DCV） | 1-2 年 |
| OV SSL | 1-3 个工作日 | 公司文件 | 1-2 年 |
| EV SSL | 3-7 个工作日 | 公司文件 + 额外验证 | 1 年 |
SSL 和 SEO——它真的影响 Google 排名吗？
Google 早在 2014 年就官方确认 HTTPS 是排名信号。虽然它被描述为"轻量级"信号，但它确实有真实效果——尤其是与仍在使用纯 HTTP 的网站相比。如今，Chrome 在 HTTP 页面上显示著名的"不安全"警告，这直接增加跳出率并削弱访问者信任。
更关键的是，自 2021 年以来，Googlebot 主要通过 HTTPS 爬取网络。如果你的网站仍然是仅 HTTP 的，Google 可能会更慢或不完整地爬取和索引它。Core Web Vitals 和安全相关信号也对排名有间接影响。
常见的 SSL 和 SEO 误解
- 免费和付费 SSL 的 SEO 影响相同——Google 不区分证书颁发机构。重要的只是有效的、未过期的 HTTPS 连接。
- 过期的证书立即损害排名——当 SSL 过期时，浏览器显示错误页面。Googlebot 看到同样的错误，可能导致排名下降。
- 混合内容减少 SEO——如果你的页面在使用 HTTPS 的同时通过 HTTP 加载图像或脚本，浏览器会标记或阻止混合内容，削弱安全信号。
- HTTP → HTTPS 重定向必须正确完成——使用 301（永久）重定向向 Google 表示更改是永久的，而不是 302（临时）。
通配符 SSL 和 SAN SSL——何时使用各自
对于具有多个子域或同一组织内多个域的网站，两种 SSL 类型可以显着降低成本和管理复杂性。
通配符 SSL (*.domain.com)
通配符 SSL 覆盖单个级别的所有子域。例如，*.asiagb.com 覆盖 shop.asiagb.com、blog.asiagb.com、api.asiagb.com 和所有其他子域——但不覆盖 sub.shop.asiagb.com（两级深）。
- Let's Encrypt 通过 DNS-01 挑战免费颁发通配符证书
- AsiaGB 提供 RapidSSL 通配符 ฿5,000/年，包含保修和支持
- 最适合拥有多个子域的网站，如
www / api / shop / admin
SAN SSL（多域名）
SAN（主题备用名称）SSL 在单个证书中覆盖多个不同的域——例如，asiagb.com、billing.in.th 和 dnsxray.com 都在一个证书中。与为每个域购买单独证书相比，这减少成本并简化管理。最适合在共享基础设施上管理多个域的组织。
# Check SAN entries in a certificate using openssl
openssl s_client -connect asiagb.com:443 -servername asiagb.com 2>/dev/null \
| openssl x509 -noout -text \
| grep -A1 "Subject Alternative Name"加密实际上不同吗？
就加密强度而言，不——没有区别。免费和付费 SSL 证书都使用 TLS 1.2/1.3 与 2048 位 RSA 或 256 位 ECC 密钥。你的用户和服务器之间传输的数据加密强度相等。
不同的是身份验证。免费 SSL 只验证你拥有域名。它不验证谁或什么组织在网站背后。OV 和 EV 证书经过更严格的审查程序来确认你的组织身份。
付费 SSL 上的保修实际意味着什么？
来自领先 CA 的付费 SSL 证书包括保修，覆盖由错误颁发或被攻击的证书引起的损害——为你的客户提供保证。例子包括：
- RapidSSL DV：$10,000 保修
- GeoTrust DV：$100,000 保修
- DigiCert EV：市场上最高的保修
Let's Encrypt 不提供任何形式的保修，因为它是一项免费的非营利服务。
总结：哪个 SSL 适合你？
- 博客 / 作品集 / 登陆页面：免费 SSL（Let's Encrypt）就足够了——免费且安全。
- 商业网站 / 一般中小企业：付费 DV SSL（从 ฿1,000/年起）增加信任、保修和安心。
- 中型在线商店：推荐 OV SSL——证书中的公司名称建立客户信任。
- 银行 / 金融机构 / 大型电商：EV SSL 对于最大信任信号至关重要。
- 有许多子域的网站：通配符 SSL——免费或付费（AsiaGB 提供通配符 DV）。
警告：Let's Encrypt 证书每 90 天过期一次。如果你没有设置自动续期并忘记了，你的证书将过期，浏览器将显示"不安全"警告——立即损害 SEO 和访问者信心。有效期 1-2 年的付费 SSL 管理起来要容易得多。