一、零费用不等于零要求

1. 三种零费用来源

一是公益签发项目：由非营利组织运营，靠公开接口批量签发，覆盖广、工具生态成熟，是这类方案里主流的一种。

二是机构为带动其他业务而给出的零费用额度，通常限量、限域名、限期限，条件随政策调整，稳定性取决于运营方的策略。

三是随某项服务附赠的证书，签发与管理被封装在控制台里，用起来省心，但可迁移性差，换一家服务时证书要重新来一遍。

三种来源在稳定性与可控性上差别很大，选之前先分清手上拿到的是哪一种，别把临时额度当成长期方案。

2. 零费用能做什么、不能做什么

能做的：为公开域名提供加密，拿到浏览器认可的安全标识，覆盖测试与预发布环境，支撑个人与小型站点的常规需求。

不能做的：在证书里展示单位主体身份、满足需要主体身份可溯的合规场景、覆盖纯内部域名与直接用 IP 访问的入口。这几条是机制决定的，不是配置问题，想清楚边界，后面不会反复折腾。

3. 判断标准是客户端认不认

不是看签发方自己怎么说，而是拿真实设备去试：桌面浏览器、移动端系统、老旧终端、各类语言的运行时。同一张证书在不同客户端表现可能不同，尤其在链不完整或者吊销信息取不到的时候。测过的结果才叫结论。

二、第一关：公信力怎么比

1. 根证书的预装广度

根证书是否被主流操作系统与浏览器内置，决定证书能否开箱被信任。覆盖广度要看两类终端：新版桌面与移动系统，以及仍在服役的老设备、嵌入式终端、各类运行时环境。覆盖差一点，表现只在个别客户端上，排查却相当费时间。

判断办法是查公开的信任库清单，再挑几类实际终端验证，不靠口碑。

2. 有没有通过独立审计

可以核对三样：是否接受了行业通行的第三方审计，覆盖签发流程、密钥管理、日志记录；审计报告是否可查阅；是否参与行业规范组织的表决与讨论。这些是可核对的凭据，不是宣传材料。

3. 吊销信息的发布方式

证书被吊销之后，客户端怎么知道？过去靠在线状态查询，如今多家签发方已逐步停用这条通道，改用被吊销证书清单。这一步变化会影响对离线环境的判断：纯内网设备取不到清单，吊销状态就无人知晓。有内网设备的场景，选型时要把这条纳入考量。

4. 历史事故与处置

查一查这家机构有没有出现过误签发、批量吊销、信任被移除之类的事件。关键不是有没有出过事，而是出事之后多久定位、多久恢复、是否公开说明。有过事故但处置清楚的，往往比一路无人追问的更值得信任。

三、第二关：自动化支持怎么比

1. 标准接口与工具生态

支持标准签发协议，意味着有大量现成工具可用，也意味着换人接手时不必从头学一套私有流程。接口的开放程度还要看三处：能不能查询剩余有效期、能不能指定续期窗口、能不能批量签发与批量吊销。

2. 域名校验方式

常见三种：在网站指定路径写入一个文件、在解析里添加一条记录、在指定端口应答。支持的种数越多，部署形态受的限制越少。入口设备不方便对外开放路径时，解析记录方式是关键；纯内网环境无法对外应答时，也只能走解析记录。只有一种方式的方案，遇到特殊架构就会卡住。

3. 续期窗口与通知

续期时机不该写死成固定天数。有效期一压缩，固定间隔就会踩空。可行做法是跟随签发方给出的推荐窗口，或者按剩余有效期比例来算。此外要确认是否提供到期前的主动通知，通知发到哪个渠道、谁能收到、有没有第二联系人。

4. 能不能批量查状态

手上只有两三张证书时，这条无所谓；管到几十张时，能一次查到全部到期情况，比逐张登录去看省太多时间。这条能力常被忽略，却在证书数量上去之后变成主要痛点。衡量时按未来两年的数量级考虑，别只按当下。

四、有效期压缩让自动化变成门槛

1. 时间表

公开信任证书的单张有效期按行业规范分阶段下调：2026 年 3 月起 200 天，2027 年 3 月 100 天，2029 年 3 月 47 天。公益签发项目走得更前，默认档已从 90 天降到 45 天，另外提供有效期只有数天的短档可选。

2. 手工续期的窗口在收窄

惯常做法是在有效期三分之二处续期。90 天时，从该续期到真正过期还有 30 天，出问题有时间处理；45 天时只剩 15 天；数天档则只剩两天左右。窗口收窄意味着一次失败没有几次重试机会，人工兜底的空间越来越小。

3. 校验复用期也在缩短

域名校验结果的可复用时间同样在压缩，逐步从月级压到小时级。复用期一短，几乎每轮续期都要重新证明域名控制权。解析记录方式在这件事上更稳，因为它不依赖网站路径能不能访问，也不怕维护窗口把站点停掉。

这两条合起来说明一件事：自动化不是加分项，而是准入门槛。零费用方案本身没有服务台兜底，自动化能力弱的，实际运维成本反而更高。

五、四条容易忽略的限制

1. 域名数量与泛域名

公益签发项目通常支持一张证书带多个域名和一层泛域名，但对数量有上限，对泛域名的适用层级有单独规则。先算清自己的域名形态，再看够不够用。子域层级超过一层的，泛域名覆盖不到，要单独列出来。

2. 签发频次

同一组域名在短时间内的重复签发有配额限制。测试阶段反复申请很容易撞上限，撞上之后只能等。做联调时提前规划，别把额度耗在调试上。可行的办法是测试环境用单独的域名，与正式域名的额度分开。

3. 只做域名验证

这类证书不核验单位主体，证书详情里看不到组织名称。需要展示主体身份的场景，零费用方案先天做不到。有些团队试图用别的方式绕过，比如在页面上加标识，但证书详情里没有就是没有，审计时过不去。

4. 覆盖不到的场景

纯内部域名、直接以 IP 访问的入口、需要长期固定的设备内嵌证书，这几类都不适合用短有效期的公开证书。要么改用自建签发体系，要么把这类入口收敛到统一入口后面，让它们不再直接对外。

六、做一张对比表，走三步决策

1. 表怎么设

横轴列候选机构，纵轴列十项：根覆盖广度、审计情况、吊销信息发布方式、标准接口支持、校验方式种数、续期窗口机制、通知渠道、批量查询能力、域名与泛域名额度、历史处置记录。每项只填事实与日期，不填形容词。

2. 权重怎么定

权重按自己的场景定：面向公众访客多的，根覆盖与链完整性权重高；证书数量多的，批量查询与自动化权重高；有内网设备要连的，吊销信息发布方式权重高；团队没有专职运维的，通知与支持权重高。权重先定下来再打分，不要先有结论再找理由。

3. 决策路径

三条线走完即可定：先筛掉不满足客户端覆盖要求的；再筛掉不支持你所需要校验方式的；末了在剩下的里比自动化程度与运维成本。三条都过的通常不止一家，此时选工具生态更丰富的那一家，换人接手的成本低，遇到问题也好找参照。

结语

选零费用的签发机构，比的不是谁签得快，而是两件事：客户端认不认，到期能不能自动接上。公信力看根覆盖、审计、吊销信息发布与历史处置；自动化看标准接口、校验方式、续期窗口与批量查询。这两关过了，再核对域名额度、签发频次、验证级别、场景覆盖四条限制。

判断选得对不对，有个很实际的测试：把手上的域名全部接进去，让自动流程跑满一个完整周期，中间不做任何人工干预。能撑住，说明选对了；中途卡住，卡在哪一项，就说明当初那张对比表漏了哪一栏。这个测试花的时间不长，比事后补漏省得多。