SSL证书“双证”热备，值得考虑的方案

环度小编：xadmin

SSL证书（https安全证书）为网站和移动应用（APP）提供 HTTPS 保护，对数据流量加密，防止数据被监听、截取甚至篡改，同时也是网站的一种数字“身份证”，访客可以通过SSL证书中的使用者身份信息字段对网站的主办者进行身份确认，防止进入钓鱼网站。随着各个平台，尤其是浏览器厂商的大力倡导和推进，以及企业本身对网络安全的重视程度不断提高，SSL证书已经成为所有APP和网站的标准配置。可以说，现如今没有SSL证书的网站相当于在“裸奔”，跟工地不带安全帽、开车不系安全带是一个道理。

但部署了SSL证书之后，也不一定  就安全放心，主要是因为：

1、SSL证书一次性只能签发多 27 个月，也就是说一张SSL证书的生命周期其实很短，但更新SSL证书其实需要一定的时间，而在很多单位，经常发生忘记更新SSL证书的事情，直接导致的结果可能就是系统瘫痪，服务受到影响。今年年初的时候，某国外知名IT公司出现了一次几个小时的停服事故，事故的原因竟然是忘记对SSL证书进行续签，这种事情还发生在特斯拉身上，就在上周，特斯拉一张证书没有更新，导致很多特斯拉车主无法打开车门，一时间特斯拉的官微充满各种不满。SSL证书过期前都要重新申请和审核，OV 和 EV 由于需要人工审核，从申请到下发证书一般要数个工作日，EV 型证书的审批时间将更长，注意这里说的是“工作日”。

环度网信曾经接到过几个案例，某单位的证书过期，却刚好发生在假期，该单位原供应商联系不上，找到环度网信咨询如何处理。后来环度网信的值班工作人员通过先签发一张 DV 证书（快只需要几分钟即可签发）将原过期的 OV 证书替换，然后在假期后的个工作日以快的响应给客户新签发了一张OV证书。

这中间其实涉及到一个SSL证书有效期的监测管理。因为近几年的SSL证书市场开始火热，很多公司开始引入这个产品，但自身的服务却未跟上，导致对客户的SSL证书有效期管理混乱。

在环度网信，我们对每一张证书都有严格的有效期监控，除了系统的邮件提醒之外，还有对应的人工提醒和追踪。一张SSL证书到期之前，会收到我们 3-5 次的提醒，直到客户续期或者明确表示相关证书不再需要续期。

2、一些CA本身的服务故障。这样的事情也时有发生，感兴趣的网友可能在网上搜寻。

为了防止硬件故障，很多公司通常额外配置冗余的硬件设备，组成双“机”热备集群系统。同样，也可以申请额外的证书组成双“证”热备系统，只要为相同域名申请不同品牌（环度网信有 10 个SSL证书品牌）、不同到期时间的证书即可，一旦发现证书过期，随时将另一个备用证书部署上去即可。所以，为了确保万无一失，很多公司开始给同一个域名申请两个不同品牌和不同有效期的SSL证书。其实，相对SSL证书过期或者故障导致的损失，购买SSL证书的费用几乎可以忽略不计。

SSL证书通常分成三种：

DV SSL——价格经济，环度网信的 DVSSL证书 180 元起（查看DVSSL价格表）。为加快证书的颁发速度，通过 DNS 信息验证或者域名管理员邮箱、上传验证文本等方式验证后即可颁发，DV 证书中不包含企业实名信息，所以有一些钓鱼网站利用这一点常常注册近似的域名并获得DV证书以骗取信任。

OV SSL——环度网信的 OVSSL证书 1880元起（查看OVSSL价格表）。早出现的一种证书，需要进行人工审核后方可颁发，OV 证书的应用为广泛。

EV SSL——环度网信的 EVSSL证书 2800元起（查看EVSSL价格表）。提供更高的安全等级，需要进行严格的审核后方可颁发，EV 证书一般用于金融等需要高安全等级的应用场景。

目前主要的证书颁发机构包括：

GeoTrust：Geotrust 是第二大数字证书颁发机构Digicert旗下品牌。

DigiCert：DigiCert（原Symantec证书）是 SSL/TLS 证书的提供商，为一百多万台网络服务器提供安全防护。

GlobalSign：GlobalSign 是早的数字证书认证机构之一，一直致力于网络安全认证及数字证书服务，是一个备受信赖的 CA 和 SSL 数字证书提供商。

CFCA：中国金融认证可信(CFCA)证书，由中国数字证书认证机构自主研发，国产证书。

上海CA万维信：国产证书。

Sectigo 证书：原 Comodo SSL证书，，“备胎”。

如果万一发生当前的证书故障，那么立即切换到“备胎”SSL证书之后，发现证书并没有更新，则再检查一下有没有部署 CDN、云 WAF、抗 DDOS 这样的服务，再看看有没有在 SLB（负载均衡）、OSS 对象存储服务上部署证书，在这些位置都要更新证书。