很多人第一次给网站配SSL证书的时候都会卡在一个地方：搜索引擎里一搜，铺天盖地都是“免费SSL证书申请”，点进去几分钟就能装好，浏览器地址栏也出现了小锁图标。那问题就来了，既然有免费的，为什么还有人一年花几百上千块去买收费版？是收费的加密更厉害，还是免费的藏着什么坑？
先说一个可能跟直觉相反的事实：在加密这件事上，免费证书和收费证书没有区别。不管是Let's Encrypt签发的免费证书，还是DigiCert卖几千块的付费证书，用的都是RSA 2048位或者ECC加密，SHA256哈希算法，TLS 1.3协议。用户在你网站上填的密码、提交的表单，经过免费证书加密之后，被中间人抓包窃听和篡改的难度，跟经过付费证书加密是一模一样的。密码学层面它们就是同一套东西，付费证书不会给你的网站加一层更强的“加密防护罩”。
那钱花在哪了？花在“加密”之外的地方。
第一件花钱的事：验证你是谁。
所有免费证书都是DV（域名验证）型。CA机构只做一件事——确认你控制着这个域名。你在域名解析里加一条TXT记录，或者往网站根目录传一个文件，验证通过，证书就签发了。整个过程全自动，快的话几分钟，没有人工介入。这也意味着CA完全不知道申请证书的到底是谁，是企业还是个人，是正经生意还是钓鱼团伙。
付费证书往上走一层是OV（组织验证）型。CA要人工核验你的营业执照、企业注册地址、对公电话，确认这家公司真实存在并且合法经营。审核周期一到三个工作日，证书里会嵌进企业全称。再往上走一层是EV（扩展验证）型，审核最严，银行级背景调查，有的还要求律师函确认，周期三到七天。EV证书最直观的特点是浏览器地址栏会显示绿色的企业名称，不过现在Chrome和Safari把绿色地址栏统一改成了灰色的锁图标加企业名，视觉上的差异被削弱了，但后台的验证深度没有变。
这个验证差异带来一个很实际的安全问题。钓鱼网站最喜欢免费证书，因为几分钟就能拿到一张带小锁的证书，域名稍微仿冒一下，普通用户看到地址栏有锁，又看到页面长得像那么回事，很容易就信了。有安全报告的数据说，超过60%的钓鱼网站用的都是免费DV证书，钓鱼攻击案例同比涨了三成多。付费OV和EV证书解决不了所有问题，但至少你点开证书详情能看到企业名字，知道对面是谁在跟你做交易。
第二件花钱的事：省掉续期的麻烦。
免费证书有效期只有90天，而且全球CA/B论坛已经决定往后还要缩到47天。这意味着一年之内你要续期至少四次。如果你用了自动化工具比如certbot或者acme.sh，理论上它可以帮你自动续，但实际跑起来不一定顺利。定时任务环境异常、续期密钥失效、服务器80端口被防火墙拦了、证书文件更新了但Nginx没有重载，任何一个环节出问题，你的网站就会在某一天突然弹出“连接不是私密连接”的警告。有篇文章讲得很直接，证书自动续期失败几乎不会主动报错，它安静地躺在日志里，直到最后一刻才让整站失去信任标识。
付费证书目前的签发上限是200天，服务商会带到期短信和邮件提醒，而且付费版通常带证书托管服务，快过期的时候系统自动帮你提交新证书申请。你不用写定时脚本、不用盯着日志、不用半夜爬起来处理过期告警。这件事对于有专门运维团队的公司来说不算什么，但对于一个人管好几个站点的站长，或者一个没有技术人员的传统企业，省下来的时间和踩坑成本远不止那几百块钱。
第三件花钱的事：出了事有人兜底。
免费证书没有任何安全保险，也不提供SLA服务等级协议。你的证书因为CA那边的问题出了故障，导致网站无法访问或者数据出问题，责任你自己扛，没有赔付可言。付费证书通常附带安全保险，额度从十万美元到一百多万美元不等，不同CA和不同等级的产品保额不同。有的付费证书还带SLA保障，承诺一定的可用性，出问题可以按协议索赔。
第四件花钱的事：品牌溢价和兼容性。
证书品牌之间的价格差可以很大。Sectigo（原Comodo）的DV证书一百多到四百多块钱就能买到，性价比在业内公认比较高。DigiCert是行业标杆，OV证书起价就两千八左右，但它不做DV产品，最低就从企业级开始卖。GlobalSign介于两者之间，品牌信誉和兼容性都做得不错。这个差价一部分是品牌背书的价值，跨国企业和国企招标时经常直接指定要用某几家CA的证书，你没有议价空间。另一部分是兼容性，大牌CA的根证书在操作系统和浏览器里的预装覆盖率更高，老设备和小众系统上出兼容问题的概率更低。
免费证书的浏览器兼容性也不是完全没坑。Let's Encrypt的根证书ISRG Root X1在主流浏览器和近几年的手机系统上都没问题，但更老的安卓设备和Windows 7上的某些浏览器可能没有预装这个根证书，用户访问的时候会提示证书不受信任。大牌付费CA的根证书在系统里的预装历史更长，覆盖面更广，这种问题出现的概率小得多。
不同场景该怎么选，其实逻辑很直接。
个人博客、测试环境、临时项目，预算为零，用Let's Encrypt这类免费证书完全够用。配上certbot设置好自动续期，再挂一个到期提醒，日常基本不用管。一个纯静态的个人技术博客，给它配一张两千块的EV证书，钱花在了它不需要的地方。
普通企业官网、产品展示站，OV证书是性价比最合适的档位。一年几百到两千多块，CA帮你核验了企业身份，证书里带着公司名字，客户点开证书详情能看到对面是一家真实存在的公司。这个信任背书对转化率有实际影响，尤其是B2B的场景。
电商平台、金融支付、需要强信任的场景，OV是底线，EV是更稳的选择。这些场景里用户对网站身份的怀疑直接等于订单流失，EV的验证深度和品牌背书值那个钱。
手里域名和子域名特别多的，算一笔通配符证书的账。免费证书没法签通配符，你有十个子域名就得管十张证书，续期的时候十张都要盯着。一张付费的DV通配符证书八九百块一年，一张OV通配符三千到八千不等，把所有子域名的管理成本压缩成一张证书，省下的运维精力值不值这个价，自己算一下就有答案。
还有一个容易被忽略的隐性成本。2026年全球CA/B论坛的新规落地之后，所有证书的最长有效期从398天缩到了199天，DigiCert这类国际品牌全线涨了15%左右。这意味着“买一年用一年”的时代结束了，不管免费还是付费，你都得按新的周期来规划续期。付费证书多年期套餐锁定的不再是实际使用年限，而是提前锁定的折扣价格和续期服务。买之前跟服务商确认清楚多年套餐到底锁的是什么，别想当然。
证书这东西，加密能力免费和收费一样，差别在验证深度、运维兜底和风险保障。你不需要为“更安全的加密”多花钱，但如果你需要让别人知道你是谁、需要有人在你忘记续期的时候提醒你、需要出事之后有个索赔的对象，那这笔钱就值得花。