一、小程序对证书的硬性校验：四条红线不能碰

微信小程序运行在微信内置的WebView与网络栈中，它不认“证书是不是花钱买的”，只认四条校验红线。

第一条是根证书必须在系统或微信信任库内。自签名证书、私有CA、小众未审计CA签出来的证书，在开发者工具里可能靠跳过校验蒙混过关，但真机iOS和安卓都会直接拦截，报SSL握手错误。免费证书只要来自通过WebTrust审计、根证书已进入主流系统信任库的公用CA，这条就能过。

第二条是域名完全匹配。证书里的CN或SAN必须包含小程序后台配置的请求域名，包括子域也要显式覆盖。用通配符证书时要注意它只覆盖一级子域，不能覆盖多级子域。

第三条是TLS版本不低于1.2，推荐1.3。TLS 1.0和1.1已被微信平台拒绝，服务器Nginx或网关层必须显式禁用老版本。

第四条是证书链完整。服务器返回的不仅是叶子证书，还必须带上中间证书，形成从叶子到根的完整链。很多“PC浏览器能开、小程序真机报不信任”的事故，根因就是Nginx只配了单证书没配fullchain，浏览器能自动补全链，微信容器不补。

这四条和证书收不收费无关，免费证书满足就能用，不满足付费也白搭。

二、DV与OV在小程序里的感知差异

加密强度上DV等于OV等于EV，小程序握手耗时也没有区别。差异只在证书详情里的组织字段和审核深度。

DV证书只验域名控制权，几分钟到几小时签发，不含企业名。对个人工具、资讯、内部系统、起步期项目完全够用，满足微信上架全部硬指标。

OV证书在域名验证之外审企业营业执照和授权关系，证书详情里写公司名。电商、会员、交易类小程序用OV，能在用户主动点开证书详情时展示主体身份，对防钓鱼同名有一点边际信任增益。但小程序地址栏不会像老浏览器那样把公司名高亮，普通用户感知很弱。

EV证书在微信小程序环境里几乎没有额外收益，审核重、年费高、签发慢，除非是持牌金融或强合规政务场景，否则不推荐普通小程序选EV。

所以对小程序来说，选DV还是OV看业务要不要“证书里带公司名”，不看加密需求——两者加密一样强。

三、免费证书的信任根与链完整性：稳不稳的第一变量

免费证书通常指基于自动化协议签发的DV证书，其根证书（如ISRG Root X1）已广泛进入iOS、Android、Mozilla、Chrome信任库，微信容器也继承系统信任库，因此在绝大多数现代真机上是被信任的。

但有两个历史兼容性边界要注意：

其一，ISRG Root X1在Android 7.0及以上预置良好，Android 4.x到6.x部分老系统未预置该根，访问时会报不信任；此时服务器可配置交叉签名到老根（如DST Root CA X3的过渡交叉链，视CA策略而定）来兜底，或业务方自己评估用户机型分布。

其二，免费证书的中继链由CA定期轮换，部署时必须用CA提供的fullchain文件，不能只拷叶子证书。链不全在PC Chrome可能仍能开，但在小程序真机必败。

只要根在信任库内、链配全、TLS版本对，免费证书在小程序里的加密通道质量和商业DV没有可感知差别。

四、生产环境稳定的前提条件：免费不等于放任不管

免费证书能在小程序生产环境稳定使用，但有两个硬前提，缺一个就会“突然不稳”。

前提一是自动化续期必须跑通。免费证书有效期通常九十天，距离到期三十天内自动重签，重签后重载Web服务。这套链路要用系统定时任务每天跑两次，并配合模拟续期测试。一旦续期脚本因权限、DNS API失效、ACME接口限频而静默失败，证书过期当天小程序所有接口全挂。生产稳定不是“证书免费就行”，是“续期闭环有人盯”。

前提二是监控与告警到位。到期前七天、三天、一天分别告警；续期日志异常告警；小程序端真实探测接口HTTPS可达性。很多团队证书过期凌晨救火，不是免费证书的错，是没把免费证书的短周期当回事。

前提三是服务器侧配置规范。Nginx用fullchain、禁用TLS1.0/1.1、开启TLS1.2和1.3、OCSP Stapling开启减少吊销查询延迟、HSTS按业务需要谨慎开。这些配置和证书贵贱无关，但免费证书短周期下任何一次配置漂移都会被放大。

满足这三点，免费证书在日均千万请求的小程序生产环境跑一两年不出问题，业内常见。

五、免费与商业证书的运维账对比

不谈价格（题目要求避营销词），只谈运维属性差异。

免费DV优点：签发快、自动化协议成熟、根信任覆盖现代设备、短周期逼出自动化、社区资料多。

免费DV弱点：有效期短需自动化、部分老安卓根预置晚、无CA侧人工支持、无SLA赔付、重签依赖自身运维能力。

商业DV/OV优点：有效期一年或多年减少续期次数、CA提供中间链稳定托管、有工单支持、有SLA保障、OV带企业身份、部分CA提供旧根交叉签名兼容老设备更好。

商业DV/OV弱点：需组织审核（OV）、年费成本、签发慢几小时到几天。

对小程序的含义是：如果你的团队有能力写稳定时任务、配好监控、用户机型偏新（iOS13+/Android8+），免费DV完全能扛生产；如果团队小到没人管定时任务、业务涉及交易且要CA背书的SLA、用户含大量老安卓设备，商业OV更省心。

六、选型决策清单

把下面几条过一遍，答案自己出来：

① 小程序是否涉及支付、敏感信息、企业身份展示 → 是则OV，否则DV；

② 用户机型分布是否含Android 6以下老设备 → 是则确认免费CA根预置或交叉签名，否则直接商业CA；

③ 团队是否有自动化运维能力（定时任务+监控+告警） → 有则免费DV可生产，无则商业DV省心；

④ 是否国密合规场景 → 是则国内CA双证书，外层RSA保兼容；

⑤ 域名是否多子域 → 通配符DV（免费也支持通配符，但需DNS验证）；

⑥ 是否赶上线节点不容签发等待 → 免费DV分钟级，OV需工作日。

绝大多数个人开发者、工具类、MVP验证期小程序，免费DV+自动化续期+fullchain部署是合理默认解；正式商业运营、交易闭环、客服体系依赖HTTPS稳定性的，上商业OV把SLA买回来。

结语

选择小程序的证书，核心不是“免费还是付费”，而是“根是否在微信信任库内、链是否完整、TLS是否达标、续期是否自动、过期是否有人告警”。免费证书在这些条件都满足时，和小程序生产环境的兼容性、稳定性、加密质量与商业DV无异，微信平台本身也不限制证书来源。它的真实成本不在签发费，而在九十天周期逼出来的运维纪律——能把自动化续期和监控做扎实的团队，免费证书跑生产毫无压力；做不到的团队，换商业证书只是把同一颗雷往后延一年。开发工程师做决策时，先问自己“续期脚本跑通没、告警配没配、老安卓用户占多少”，比问“免费证书行不行”更接近问题本质。