购买正式SSL证书
华为云SSL证书管理服务提供多个品牌和类型的证书，您可以根据需求购买SSL证书，证书购买成功后才能申请证书，具体流程如图1所示。该任务介绍如何购买SSL证书，包括证书的场景化极速选型、证书购买操作步骤以及常见问题等。指导完成SSL证书的选型与购买。
场景化极速选型
场景一：个人业务或非商业性网站
- 适用场景：个人博客、作品展示、本地开发测试、教学演示等非商用、非生产场景。
- 业务特征：
- 无数据传输业务
- 网站用来展示纯信息或内容
- 推荐证书类型：
场景二：中小企业线上业务（官网、电商、小程序等）生产环境
- 适用场景：面向公众提供服务的业务系统，涵盖企业官方网站、微信小程序后端服务、中小型电商平台以及SaaS应用入口等。
- 业务特征：
- 有严格的数据保密要求
- 无需在网站地址栏展示身份信息
- 网站后期有多个新增站点的需求
- 推荐证书类型：OV型证书。证书加密算法更强，适用于中小企业的网站、APP应用、小程序等。认证强度相对较高，验证组织及企业真实性和域名所有权。若需保护多个子域名，优先选择OV泛域名证书。不同类型证书差异详情请参见证书类型。
场景三：金融、银行、保险等高公信力行业，适配高可信业务生产运行环境
- 使用场景：关键业务系统（如政务平台、网银、支付网关、证券交易、大型企业门户等）须运行于安全与合规性达最高等级的生产环境。
- 业务特征：
- 有严格的数据保密要求
- 希望在网站地址栏展示身份信息
- 推荐证书类型：EV型证书。证书加密算法更强，适用于大型政企/电商/教育/金融/银行/医疗等行业的平台网站、APP应用、小程序等。安全等级最高，严格验证组织及企业真实性和域名所有权。不同类型证书差异详情请参见证书类型。
前提条件
购买证书的IAM用户已被授予“SCM Administrator”/“SCM FullAccess”、“BSS Administrator”和“DNS Administrator”权限。
- BSS Administrator：费用中心、资源中心、账号中心的所有执行权限。项目级角色，在同项目中勾选。
- DNS Administrator：云解析服务（DNS）的所有执行权限。
具体授权操作请参见权限管理。
约束条件
特殊企业不支持申请OV、EV类型的证书。例如：军队、政府的一些特殊机构、国家保密单位等。
原因：全国组织机构统一社会信用代码公示查询平台无法查询到特殊企业的相关信息，因而无法完成组织身份验证，所以特殊企业无法使用OV、EV类型的SSL证书。
购买SSL证书
- 登录云证书与管理服务控制台。
- 在左侧导航栏选择“SSL证书管理 > SSL证书列表”，并在SSL证书管理界面右上角，单击“购买证书”，进入购买证书页面。
- 在购买证书页面，完成参数配置，参数配置如图 证书选型所示。
- 选择“域名类型”：
域名的类型，域名证书支持“单域名”、“多域名”和“泛域名”。具体参数说明如表 域名类型所示。
表1 域名类型 域名类型
说明
单域名
即单个SSL证书只支持绑定1个单域名。例如，example.com
多域名
即单个SSL证书可以同时绑定多个域名。
- 最多可以支持250个域名。
- 仅当证书类型为OV、OV Pro时，多个域名中可包含泛域名。其他类型的证书，仅支持绑定多个单域名。
- 多个域名可以分批次绑定。例如，购买多域名类型证书，域名数量为3的场景，首次申请证书时仅填写了2个域名，证书签发后可再追加填写1个域名。
- 当购买多域名类型证书，域名数量为3的场景，仅支持绑定3个域名。如果后续还需添加，则需要重新购买证书。
泛域名
即单个SSL证书支持绑定一个且只有一个泛域名。*.*.example.com多个通配符的泛域名不支持。
泛域名只允许添加一个通配符域名，例如*.example.com（包含a.example.com、b.example.com、......，但是不包含a.a.example.com）。
更多关于如何选择域名类型，详情请参见如何选择域名类型？。
单域名证书与泛域名证书绑定域名后将自动赠送对应的域名，域名赠送规则详情请参见证书支持的域名类型。
- 设置“域名数量”：
- “域名类型”选择“单域名”和“泛域名”时，域名数量限制为1个。
- “域名类型”选择“多域名”时，域名数量范围为“2~250”。您可以根据您的需要设置域名数量。
- 选择“证书类型”：
域名证书可选择的证书类型以及区别如表 证书类型所示，请根据您的需要进行选择。
表2 证书类型 证书类型
典型应用场景
认证强度
安全等级
审核周期
EV Pro
证书加密算法更强，适用于大型政企/电商/教育/金融/银行/医疗等行业的平台网站、APP应用、小程序等。
严格验证组织及企业真实性和域名所有权
最高
7～10个工作日
EV
适用于大型政企/电商/教育/金融/银行/医疗等行业的平台网站、APP应用、小程序等
严格验证组织及企业真实性和域名所有权
最高
7～10个工作日
OV Pro
证书加密算法更强，适用于中小企业的网站、APP应用、小程序等
验证组织及企业真实性和域名所有权
高
3～5个工作日
OV
适用于中小企业的网站、APP应用、小程序等
验证组织及企业真实性和域名所有权
高
3～5个工作日
DV（Basic）
适用于个人网站、企业测试
简易验证域名所有权
一般
数小时内快速颁发
更多关于证书类型的区别，请参见各证书之间的区别。
- 选择“证书品牌”：
当前支持的品牌包括“DigiCert”和“GeoTrust”。关于证书类型的区别，请参见各证书之间的区别。
DigiCert、Geotrust证书于2024年12月1日起将使用DigiCert Global Root G2根签发，相关证书链变化，请参见【2024年10月28日】关于DigiCert品牌根证书的切换公告。
- 选择“订阅周期”：默认为1年。
- SSL证书最长有效期变更说明：
- 订阅周期说明：
华为云云证书与管理服务提供订阅服务，购买后自动生成证书订阅实例，满足您1次下单即可购买1年、2年、3年证书服务的需求。即在订阅周期内CCM将为您签发多张有效期连续的证书。不同类型证书对应的订阅周期说明如表4所示。
表4 订阅服务说明 订阅周期
生效说明
单张证书有效期说明
证书签发后注意事项
1年
- 实际包含多张证书，以证书最长有效期为200天为例：系统将先签发一张有效期为199天的证书，并在该证书到期前30天，自动依据第一张证书的信息为您申请第二张证书。第二张证书将补足1年有效期内的剩余天数，并衔接第一张证书的有效期。例如：若第二张证书提前30天签发，则整体有效期为199天+166天+30天。
- 若为GlobalSign品牌证书，系统将先后下发两张 199 天的证书，并在首张证书到期前30天自动生成并提交下一张证书，请在到期前7天完成签发。
- 请及时完成域名或组织验证，避免影响第二张证书的及时签发。订阅服务后续证书均为系统自动生成新的证书实例并提交给CA机构，若显示审核失败，多为用户未及时完成域名或组织验证导致，在新证书上单击申请证书并及时验证即可解决。
以证书最长有效期为200天为例：
- 单张证书有效期为199天。（各厂商为避免闰秒等因素的影响，将2027年3月前签发的单张证书有效期设定为199天。）
- 在订阅周期内，单张证书有效期从证书最终签发的时间开始计算，系统将在已签发的单张证书到期前30个自然日（DigiCert DV(basic) 泛域名证书为到期前15个自然日）自动生成下一本证书并提交申请。
您需要手动将续签证书安装到您的web服务器或部署到华为云产品，替换旧证书。详情请参见安装SSL证书。如果您未安装或未部署续签证书，则在第一张证书过期后，您的服务器或华为云产品将无法正常使用HTTPS服务。
2年或3年
系统将分两次或三次向用户交付一年期订阅服务。每次订阅服务均交付多张证书。请您及时完成域名或组织验证，以免影响后续证书的正常签发。
- 设置“购买量”：设置购买的证书个数。
- （可选）设置“标签”：为当前购买的证书添加新标签，关于标签设置详情，请参见创建标签。
- 选择“域名类型”：
- 确认证书链变化提示。
若购买GeoTrust和DigiCert品牌的证书，系统将弹出提示框，请仔细阅读提示内容后，单击“确定”。
- 确认订单无误后，阅读并勾选“我已阅读并同意《云证书与管理服务（CCM）免责声明》”，单击“去支付”。
- 在购买页面，请选择付款方式进行付款。
成功付款后，可以在，查看已购买的证书。
- 查看已购买付费证书，请单击页签。
- 查看已购买测试证书，请单击页签。
后续处理
成功购买SSL证书后，您需要申请证书，即为证书绑定域名、填写证书申请人的详细信息并提交审核。所有信息通过审核后，证书颁发机构才签发证书，更多详细操作请参考提交SSL证书申请。
