免费 SSL 和付费 SSL 证书的区别

对大多数网站来说，免费证书是更好的选择：Let's Encrypt、ZeroSSL、Google Trust Services 签发的 DV 证书被所有主流浏览器信任，加密和付费 DV 证书一样，还能自动续期；宝塔面板、阿里云和腾讯云也能申请免费证书。需要 OV/EV 公司名称、代码签名、VMC 标志、保险金或厂商客服，或者主机跑不了 ACME 时，才需要付费。

哪些是一样的

加密是一样的。免费和付费 DV 证书使用相同的密钥类型（RSA 或 ECDSA），链到同一批浏览器根证书，显示同一把锁。访客不看签发者名称就分不出来。

付费多了什么

付费多出来的是身份审核、保险金、厂商客服和站点签章，加密并不更强。

保险金赔付的是信赖方（你的访客），而且只在 CA 错误签发证书时才赔，实际很少有人申领。把它当成 CA 对自己的信心，而不是你业务的保险。

200 天新规让付费证书失去了最大优势

有了 200 天上限，付费证书和免费证书一样要频繁重签。付费证书以前能用一年甚至更久，手工续期次数少。2026 年 3 月 15 日起，CA/浏览器论坛把所有公网 TLS 证书限制在 200 天以内，2027 年 3 月 15 日起 100 天，2029 年 3 月 15 日起 47 天。付费的“1 年”“5 年”现在都是订阅，期内要反复重签、重新安装。既然怎么都得自动化，免费 ACME 证书反而更省事。详见200 天新规后还值得买多年期吗。

免费证书也在变短：Let's Encrypt 默认有效期 2027 年 2 月 10 日起从 90 天改为 64 天，2028 年改为 45 天。

什么时候该付费

四种情况需要付费：

• 需要身份信息。 招标、B2B 合作方或内部制度要求 OV/EV，见 DV、OV、EV 怎么选。
• 主机无法自动化。 部分虚拟主机和硬件设备只能手动上传证书；这时付费证书加上卖家的到期提醒和免费重签更好管理。
• 需要有人兜底。 付费卖家会协助生成 CSR、安装和验证。
• 不是网站证书。 代码签名、企业 S/MIME、文档签名和 VMC 都只有付费的。

什么时候免费就够了

博客、SaaS、API、自建服务器的电商网站、测试环境、对公网开放的内部工具，用免费 ACME 证书都没问题。三家免费 CA 的对比见 Let's Encrypt、ZeroSSL、Google Trust Services 怎么选，配置好以后用 SSL 检查工具确认一下。