免费版、Pro、正式证书怎么选：阿里云 SSL 证书三档横向对比测评

同一个域名挂 HTTPS，市面上的证书有 0 元、十几块、几千块三档。很多人默认"都加密了，选便宜的就行"，但证书的差异从来不在加密强度上——用免费证书还是 EV 证书，openssl 协商出来的对称加密是一样的。真正的差异在于：服务保障（SLA、OCSP、赔付）、有效期与订阅期、能绑什么域名，以及你每年要为它花多少时间。

下面按可查证的硬指标做一次横向对比，数据取自阿里云数字证书管理服务（CAS）官方帮助中心，价格只给量级——具体报价以官方页面实时展示为准。

一、先给结论：按场景对号入座

一句话：免费版和 Pro 属于个人站/测试档，官方明确禁止用于生产环境；只要是对外提供服务的业务，起点就是正式证书。

二、硬指标横向对比

注意"单张有效期"这一列：2026 年 2 月 25 日之后签发的证书，Pro 和正式证书单张都是 6 个月。"买贵的 = 有效期长"这个直觉已经失效，付费证书的价值在保障和域名覆盖，不在时长。

三、免费版和 Pro 的真差距

1. 额度按"张"算，不按"域名"算。 免费版每自然年 20 张，一张只能绑一个单域名。5 个子域名每轮续期吃掉 5 张，一年 4 轮正好 20 张，一张都浪费不得；且 12 月 31 日没用完的额度直接清零，不累积到下一年。Pro 无数量限制，这个场景反而更省心。

2. Pro 有工单支持。 免费版签发卡住、域名验证失败只能自己翻文档。证书过期导致的线上红屏属于事故，有个人能问比省 18 块重要。

3. 免费版的两个天花板。 一是不支持 .edu、.gov、.org、.bank 等特殊后缀域名；二是不保证 OCSP 稳定性——OCSP 是浏览器实时核验证书是否被吊销的协议，它不稳定会直接表现为访问延迟甚至连接失败。

额外提醒：免费额度按实名主体算，不是按账号算。同一企业主体下的多个阿里云账号共享 20 张，多团队各自去领会莫名"额度不足"。

四、正式证书内部：DV / OV / EV

一个现实：主流浏览器早已取消地址栏展示企业名称的绿色标识，OV/EV 的企业信息收在证书详情面板里。所以别为"绿色地址栏"买 EV，你买的是验证等级、法律效力和行业合规背书。

五、域名覆盖与加密算法

域名类型：单域名只保护一个完整域名；通配符 *.example.com 只匹配一层子域名（a.b.example.com 覆盖不了）；多域名一张证书绑多个域名或 IP；IP 证书仅 GlobalSign、DigiCert、GeoTrust、vTrus、CFCA 的 OV 单域名支持。

两条硬规则：EV 不支持通配符（行业标准限制，需要通配符只能选 OV）；一张通配符证书只能包含一个通配符域名，多个通配符需走证书合并申请。

加密算法：RSA 兼容性最好，无特殊要求选它；ECC 的 256 位强度约等于 RSA 2048，握手更快、资源占用更低，适合移动端与 IoT；SM2 国密用于合规场景，但服务端必须部署支持国密的协议栈（如 Tongsuo、国密版 Nginx），否则上完证书直接握手失败。

六、三年总成本测算

价格是变量，所以按"量级 + 换证次数 + 时间成本"三个轴算三年周期：

三点补充：正式证书支持剩余有效期补齐（旧证到期前续费同品牌同类型，新证有效期自动包含旧证剩余天数）；支持一键部署到 CDN、SLB、WAF 等云产品，续签后同步到关联资源，多节点架构不用逐台改配置——这是付费证书最"值钱"的地方；到期提醒从到期前第 15 个自然日开始、每 3 个自然日一个周期，这个开关所有人都该打开。各品牌各档位的实际报价可以在 证书产品页 按"品牌 + 验证等级 + 域名类型"逐项筛，比看二手价格表准。

七、上完证书怎么验收

控制台显示"已签发"不等于线上生效。一条命令看全：

echo | openssl s_client -connect example.com:443 -servername example.com 2>/dev/null \
  | openssl x509 -noout -subject -issuer -dates    # 主体/签发者/生效到期时间
# 再看协商协议与套件（应为 TLS1.2/1.3）、公钥算法是否与购买一致（RSA/ECC/SM2）：
openssl s_client -connect example.com:443 -servername example.com </dev/null 2>/dev/null \
  | grep -E "Protocol|Cipher"
echo | openssl s_client -connect example.com:443 2>/dev/null \
  | openssl x509 -noout -text | grep -E "Public Key Algorithm|Public-Key"

多域名站点建议写进定时任务，比人肉记日期靠谱：

for d in www.example.com blog.example.com; do
  echo "$d -> $(echo | openssl s_client -connect "$d:443" -servername "$d" 2>/dev/null \
    | openssl x509 -noout -enddate | cut -d= -f2)"
done

八、选型避坑清单

1. 别把免费证书用在生产站。 官方文档写得很直白：个人测试证书禁止用于生产环境，无 SLA、OCSP 不保证、无赔付，任一条在真实事故里都不便宜。
2. 别以为买了正式证书就不用管有效期。 2026-02-25 之后单张都是 6 个月。
3. 别为"绿色地址栏"买 EV。 浏览器早就取消了。
4. 别忽略算法的服务端前提。 选 ECC 或 SM2 前，先确认服务器、中间件、客户端全链路支持。
5. 别只买证书不管部署。 证书有 SLA，你的部署流程不一定有。

总结

三档证书的选型逻辑很清晰：加密强度都一样，差别在保障、覆盖和运维成本。

• 个人站、测试环境 → 免费版，省下的钱用来配好到期提醒和核验脚本；
• 个人站想少折腾、又要工单兜底 → Pro，用几十块换一半的换证次数；
• 任何对外服务的生产业务 → 直接上正式证书。多子域名选 DV 通配符，需展示主体选 OV，金融政务类选 OV/EV。

档位、品牌与算法矩阵以及购买页实时活动价，建议在 阿里云数字证书管理服务 对照确认一遍，免费额度领取入口也在该页面——价格和规则以官方页面实时展示为准。