SSL证书的规则早就和早年不一样，过去一张证书可以用一年多，现在这套标准已经改动。2025年4月CA/B论坛通过SC-081v3提案，从2026年3月起，所有公开可信的SSL证书，单张最长有效期直接从398天压缩到199天，后续还会继续分阶段缩短时限。就算你选购的是标注一年期的付费证书，服务商实际交付的也只是一张199天证书搭配续签证书，两者叠加才能覆盖完整一年。普通用户最直观的变化就是证书维护频次直接翻倍，自动续期不再是可选功能，变成必须部署的环节。
证书的定价也迎来调整。DigiCert旗下品牌自2026年3月整体涨价约15%，GeoTrust、RapidSSL这些子品牌同步调价，其余国际厂商也陆续跟进。对外给出的涨价理由是合规与运营成本增加，落到采购端，就是同款证书对比往年价格更高。DigiCert的OV单域名证书，涨价前后的差价，足够采购好几张国产品牌同类型证书。
免费证书如今占据很大市场份额。Let's Encrypt当前签发量占全球证书总量六成以上，全球至少88%网站启用TLS加密；2015年该项目刚上线的时候，这个比例还不足40%。免费DV证书和付费DV证书加密能力没有差别，底层都是RSA 2048搭配SHA-256起步。搭建个人博客、测试站点，或是不需要展示企业主体信息的展示类网站，Let's Encrypt90天自动续期方案完全够用，不需要任何费用。
但免费证书存在两个无法避开的短板。第一，仅支持DV级别，不会核验企业主体信息，证书内容不会展示公司名称。钓鱼站点同样能够申请DV免费证书，浏览器对它的信任层级低于OV、EV证书。第二，90天有效期，没有官方技术支持，一旦自动续期脚本故障，证书过期后网站会被浏览器标记风险警告，访客看到提示页面就会直接离开。多服务器、CDN、负载均衡这类架构，证书同步部署本身就是不小的运维工作量。
付费证书的价格跨度很大，价格差异并不是来自加密技术本身。国产品牌DV单域名证书一年一百多元，国际入门品牌RapidSSL约199元，GeoTrust一线品牌达到六百多元。OV单域名证书国产品牌约1280元，国际品牌普遍1600元往上，高出的成本主要是企业资质人工审核产生。EV证书国产品牌1880元起，国际一线品牌大约1900元，功能和兼容性基本持平。DigiCert EV证书价格数千至上万，购买价值集中在品牌背书和赔付额度，金融、支付、外贸大型站点才会选用这个等级。
通配符、多域名证书的计费模式不一样。通配符证书采用固定总价，一张证书覆盖主域名下全部同级子域名，后续新增子域名不用额外付费，也不用重新签发。国产DV通配符一年大约880元，OV通配符约3980元；国际品牌DV通配符两千多元，OV通配符七八千甚至更高。多域名证书采用基础包附加额外域名的计费方式，基础包一般包含3至5个域名，新增域名单独计费。DV附加域名数百元一个，OV附加域名单价一千至两千，EV附加域名可达三千到九千。如果子域名数量多且持续新增，通配符能够摊薄整体成本；同一主域一级子域名超过十个，通配符对比逐个采购单域名证书，能节省六成以上开支。
选购证书容易踩几个坑。最常见的就是首年低价引流，第二年续费价格直接翻几倍，首年99元的证书，续费涨到599元，三年合计总花费，甚至高于直接选购正常定价的证书。渠道价差也很明显，同一张Sectigo DV通配符证书，官方直销标价可能800元，一级代理商活动价仅300元，渠道之间差价甚至超过不同品牌之间的差价。比价不要只看折扣幅度，重点看实际成交价，部分渠道会抬高虚标原价再打折，折后价格和别家正常售价相差不大。
还有容易被忽略的配套服务。低价裸证书通常只提供证书文件，CSR生成、部署安装、到期提醒、紧急吊销全部由用户自行处理。正规服务商的证书一般附带免费重签、7×24小时技术支持、到期自动提醒，半夜遇到证书过期故障，这类服务就能起到关键作用。差价往往只有几十元，本质买的是出问题时有人对接处理。
挑选SSL证书，核心还是先明确使用场景。个人博客、测试站点，搭配自动续期脚本使用Let's Encrypt免费证书，零成本解决加密需求。中小企业官网、电商站点，OV证书是合适选择，国产品牌一千出头就能拿下，证书展示企业名称，访客查看地址栏企业信息，信任感更强。金融支付场景，EV或者DigiCert高端证书更合适，采购的是品牌信任与赔付保障，这笔预算不能省。选通配符还是多域名，看子域名结构，不要为了节省几百元证书费用，后续每次新增子域名都要重新签发部署。
199天有效期会改变很多人的运维习惯。过去一年一次续期，偶尔忘记，短时间内证书依旧有效。现在一年需要两次续期，期间如果碰到服务器迁移、DNS调整，自动续期容易静默失效。不管使用免费还是付费证书，到期提醒和自动续期链路要提前配置完成，等到网站被浏览器标红再补救，就为时已晚。