一、先定三条可比口径

1. 比同类同档

必须先对齐三件事：验证级别相同、域名形态相同、有效期口径相同。拿只核验域名的证书去比需要核验主体的证书，或者拿单域名去比带十个域名的，结论没有意义。

同档之后还要看覆盖范围。有的方案一张证书带一个名称，有的带若干名称并支持追加，形态不同，单位成本就没法直接对照，要先折算。

2. 比一整年，不比一纸首年价

一年的实际支出包含四块：证书本身的费用、追加域名的费用、重签的费用、部署与排查投入的人力。只看首年那张单子，第二年会发现数字变了，或者追加一个子域又要另算。

正确做法是把一年的动作排一遍：签发几次、部署几个点、追加几个名称、遇到几次故障，逐项折算，得出年度总成本。这个数字才可比。

3. 比能验证的事实，不比形容词

「稳定」「完善」「专业」这类词在每份材料里都有，不构成差别。可核对的项是：根证书在哪些终端被内置、吊销状态走哪条通道、接口支持到什么程度、文档上一次更新是什么时候、错误码有没有对应解释。这些都能查到，也都能自己试。

二、管理端：五项日常动作

1. 能不能一次看到全部证书

手上只有两三张时，逐张点开无所谓；管到几十张，就需要一个列表视图：按到期时间排序、按域名筛选、按状态分组，能导出更好。判断办法很直接——问一句「怎么在三十秒内找出三个月内到期的全部证书」，答不上来的，日常管理会一直靠人工翻。

2. 续期与重签的入口深不深

好的做法是列表里直接有「续期」和「重签」两个动作，点开填少量信息就能提交。差的做法要先进证书详情、再进二级页、再选类型，每次续期都要摸索一遍。入口深浅看着是小事，一年要走很多趟。

3. 子账号与权限分不分

团队共同管理时，要能把「谁只能看」「谁能续期」「谁能取回私钥」分开。只有单一管理员账号的方案，一旦人休假或离职，续期就卡住。判断办法是问：能不能给运维和财务各开一个只读账号。

4. 有没有可用的接口

接口决定能不能把续期接进自动化。要看的不只是「有接口」，而是接口覆盖哪些动作：查询剩余有效期、提交重签、取回凭证、吊销。只提供查询的，实质用处有限。

5. 通知怎么发、发给谁

到期提醒发到邮箱、短信还是站内消息，能不能配多个收件人，能不能自定提前多少天。有效期压缩之后，提醒这件事的分量明显上升，一条发到没人看的信箱的通知等于没有。

还有一处细节：通知里能不能带上「还剩多少天」这个数字，能不能按证书分组。只给一个到期日期，几十张证书时要自己算；带上剩余天数并支持筛选，才真的能用。

三、续费价格：三项要问清

1. 年费口径是一张还是两张

公开信任证书的单张有效期上限已降到 200 天，一年要用两张才能覆盖十二个月。有的方案按年收一次、内部自动签发两张；有的按张计价，一年要付两次。问清这一点，才不会在第二年发现账对不上。

2. 追加域名与泛域名的计价

多域名方案的追加价差经常比主证书本身更影响总成本。要问四项：追加一个名称多少、追加泛域名是否另计、上限是多少、追加后是否需要重签。把域名清点结果套进去算一遍，得到真实年费。

3. 续费价与首年价是不是一个价

这是容易踩的一处。首年报价与续费报价不一致，第二年起每年都要重新谈一次。做法很朴素：在比较阶段就把续费价写进表格，并要求以书面形式确认。只给首年价的，按续费价未知处理。

四、文档质量：五项硬指标

1. 有没有中文版，更新是否同步

中文文档的价值在于省时间，但要看更新是否与原文同步。只有旧版译本、关键变更不同步的，比没有中文版更容易误导——读者会以为规则没变。

判断办法是找一条近期变更的规则，看中英文两版是否都写进去了。

2. 部署指引是否分环境

合格的指引会按场景分开：单机服务、反向代理、入口分发层、应用容器各一段，并说明证书链怎么合、私钥放哪、怎么让改动生效。只给一段通用说明的，实际部署时还得自己摸索。

3. 错误提示有没有对应解释

签核失败、验证不通过、链不完整，这些都有明确的错误码或提示语。好的文档会给一张对照表：提示原文、常见原因、处理动作。缺这张表，遇到问题只能提工单等回音。

4. 有没有把证书链讲清

这一点在入口分发层部署时特别要紧。文档若只说「取回证书并部署」，却不说明取回包里含哪些文件、合并顺序是什么、根证书要不要带，就会出现「装上了但部分设备不认」的局面。

5. 变更公告是否提前

根证书更新、验证方式调整、有效期规则变化，都会影响既有部署。有没有固定的公告渠道、提前多久发出、是否提供迁移指引，这几条决定了团队能不能从容应对。

这一项常被当成形式。实际操作中，公告的价值在时间差上：提前一个月发出的变更，团队可以从容排期；提前三天发出的，只能连夜改配置。挑选时不妨问一句「上一次规则变更是什么时候、提前多久通知的」，回答能看出这家的习惯。

五、部署与售后：三项实际体验

1. 根与吊销状态节点在哪

根证书被内置得越广，开箱被信任的范围越大；吊销状态查询的节点位置，则直接影响国内访客的握手速度与离线环境能否判断。这一项与业务面向谁有关：访客在境内为主，节点在境内更顺；面向境外，覆盖广度更关键。

2. 工单响应与语言

响应快慢与沟通语言，在没有专职运维的团队里价值很高。判断办法不是看承诺，而是问三个具体问题——签核卡住找谁、部署失败多久回、非工作时间有没有人接。答案含糊的，按自助处理预期。

3. 迁移与导出的自由度

换一家机构时，能不能把证书清单、签发记录、部署信息整份带走。这一点在日常没人关心，真到要换时才发现清单在别人后台里、导不出来。选型阶段就把导出能力问清楚，比事后补救省事。

六、把六维打分落到决策

1. 表怎么填

横轴列候选，纵轴列十五项：批量视图、续期入口、子账号、接口覆盖、通知配置、年费口径、追加计价、续费价、中文文档同步、分环境指引、错误码表、证书链说明、公告机制、节点位置、导出能力。每项只填事实，填不出的写「未知」，别填形容词。

2. 权重按场景定

面向公众访客多的，节点位置与文档里的证书链说明权重高；证书数量多的，批量视图与接口权重高；团队人少的，续期入口与工单响应权重高；有合规要求的，中文文档与公告机制权重高。权重先定、再打分，防止先有结论再凑理由。

3. 决策顺序：先筛硬门槛，再比软体验

第一步筛掉不满足硬门槛的：根不在目标终端被信任、不支持所需验证方式、接口完全缺失。第二步在剩下的里比软体验：管理端顺手程度、文档可读性、响应速度。硬门槛不过的，软体验再好也不能用；硬门槛都过的，往往差在几小时的上手时间上，按团队人力和证书数量定即可。

结语

国内外机构的差别，落在几件具体的事上：根与吊销节点在哪、管理端能不能批量处理、续费与追加怎么计价、文档能不能让人自己解决问题。这些都能核对，也都能试用，不必靠印象排序。比较的价值不在于选出一家处处占优的，而在于知道自己放弃了什么。