一、三种验证档次的差别
（一）只核验域名控制权
第一档只确认申请人掌握该域名，签发速度快、成本低，适合绝大多数不涉及敏感信息的场景。访问者看到的是与任何加密站点相同的标识。
（二）核验主体身份
第二档需要提交证明材料，签发机构核实后将主体信息写入证书，访问者可以查看运营方名称。这一步对建立信任有实质作用，签发通常需要数个工作日。
（三）深度核验与显著展示
第三档在第二档基础上增加更严格的材料审核，在部分客户端上会以更醒目的方式展示主体名称。它的价值主要在于对外的身份昭示，而非加密本身更安全。
二、按站点性质选择
（一）展示型官网
只提供企业介绍、产品说明与联系方式的站点，访问者不会提交敏感内容，选择核验域名控制权的档次即可满足需求。
（二）带登录或表单的站点
存在账号登录、资料提交环节的站点，访问者会自然盯住运营方是谁。此时核验主体身份的档次更合适，展示出来的主体信息本身就是一种承诺。
（三）涉及资金往来的站点
会处理支付或契约类操作的站点，应当考虑核验主体身份并附带赔付条款的产品，同时优先选择有明确响应时限的支持渠道。这类站点出现中断或信任问题的代价远高于证书开销。
1. 同站多入口怎么办
同一站点下若既有展示栏目又有交易模块，按其中要求最高的部分统一选择。
2. 阶段性调整
业务范围变化时可以随时更换档次，不必一次到位，按当前阶段选择更务实。
3. 子站是否单独
与主站主体一致的子站可以共用一张覆盖范围合适的证书，减少重复核验。
三、覆盖范围怎么规划
（一）单域名
只有主域名与某一个固定入口时，单域名产品最简单也最省，管理粒度清晰。
（二）子域名较多
门户、会员、接口等模块分散在不同子域名下时，通配符一次覆盖同级全部，后续新增模块无需再申请。
（三）多主域并发
多个彼此单独的主域可以列在同一张证书里，统一到期时间，比分散管理更不容易遗漏。
四、在哪一层部署
（一）部署在源站
流量直接到达后端时，证书部署在源站即可。这种方式配置直观，排查路径短。
（二）部署在边缘节点
流量先由边缘节点承接时，访问者与边缘之间也要加密，因此需要在边缘节点一侧部署。天翼云CDN支持在边缘节点下发证书，统一入口处的配置可以减少源站改动。
（三）两端都要考虑
若边缘与源站之间也希望保持加密，则两端都要配置。是否需要在回源段也加密，取决于链路所经网络的性质。
① 先按敏感程度确定最低验证档次，再决定覆盖范围。
② 有边缘节点时确认那一侧的部署位置，减少只配源站看不到效果。
③ 域名清单变动后同步检查证书是否仍然覆盖新入口。
五、常见配置失误
（一）中间证书未配置
只部署主体证书会让部分客户端无法完成信任追溯，表现为少数环境下提示风险，排查时容易被误判成客户端问题。
（二）域名清单漏项
上线后再补充入口是常态，若未同步更新证书覆盖范围，新入口会触发告警。
（三）到期未替换
到期导致的中断影响面最大，且往往在访问者反馈后才被发现。把到期日登记进巡检表是最省事的防御手段。
六、上线前后的检查
（一）上线前
-
核对域名匹配范围、中间证书是否齐全、协议版本与加密套件是否符合要求、证书有效期是否在预期区间。
-
信任链是否完整可以借助在线工具检查，重点是中间证书是否被一并配置妥当。
-
覆盖范围规划完成后要形成一份书面清单，注明每个主机名对应的用途与状态；主机名数量要在规划阶段统计清楚。
-
站点若有多个语言版本、多个入口域名，或同时面向多种语言人群，在规划覆盖范围时要把所有版本一并考虑，确认所有域名入口都被覆盖范围包含，减少部分地区访问时出现标识异常。
-
证书主体信息若与实际运营主体不一致，访问者查看时会产生疑虑；每年的品牌或主体信息如有变更，应当同步考虑重新核验并更新证书，保证展示信息与实际一致。
-
对外承诺类的页面可以考虑单独使用更高档次的产品，其余栏目维持基础配置，兼顾信任表现与整体开销。
-
核验主体身份的产品在部分客户端上会以更醒目的方式展示运营主体名称，这种差异即使不熟悉技术的人也能察觉。
（二）上线后
-
用不同网络环境与不同客户端各访问一次，确认标识与有效期正常。
-
检查是否存在混合内容的提示。证书部署完成后，建议检查站点内部是否还存在未加密的资源引用，这类混合内容会让页面出现提示，影响访问者观感。
-
页面内部的资源引用要统一改为加密形式，残留的未加密引用会让整体标识失效。
-
有移动端应用的站点要额外验证移动端环境下的兼容性，桌面与移动端在信任链处理上并不完全一致。
（三）长期维护
-
把续期、替换与巡检写成固定流程，每次变更留痕。
-
天翼云主机上的站点配置也应纳入同一份变更记录，便于出现问题时快速定位。
-
长期维护的重点其实只有两件事：到期日的持续跟踪，以及协议配置是否仍然符合当前要求。
-
把证书相关操作纳入统一的变更流程，与其他运维动作一样留痕、一样走审批，能够显著减少临时操作带来的意外；多人管理时，证书相关操作应与其他变更一样走审批留痕，便于事后确认时间线。
-
替换证书的时间点最好安排在工作日的低峰时段，并提前通知相关人员做好准备，便于出现异常时快速处置；对于仅在特定时段开放的站点，到期替换要避开使用高峰，并提前准备好回退所需的旧文件。
-
覆盖范围规划完成后形成的书面清单，后续新增或下线时同步更新；临时增加的栏目若未同步更新证书，上线后会立刻暴露问题。
结语：选类型的思路其实很朴素：先看站点收集什么信息，再看需要向访问者证明什么。只做展示的站点不必追高档次；有登录、有表单的站点至少核验主体身份；涉及资金往来的站点则要把支持响应与赔付条款一并考虑。类型选完之后，别忘了把覆盖范围与到期巡检同步安排好。
