【导读】IP地址不支持Let's Encrypt等公共CA颁发的免费SSL证书。新网提醒：仅限域名主体可完成DV验证并获颁有效证书。正确选用SSL证书是网站可信访问的基础。

行业趋势/技术亮点

当前全球主流公开信任CA（含Let's Encrypt、Sectigo测试环境）均已明确拒绝为纯IPv4/v6地址签发SSL/TLS证书。该策略源于RFC 6125强制规定——证书主题备用名称（SAN）必须为DNS标识符，而非IP地址字面量。即使临时绕过校验，在Chrome/Firefox/Safari最新版本中也会触发NET::ERR_CERT_INVALID警告。

企业挑战与应对方案/专家建议

面向开发运维人员，新网提出四项实操建议：

• 立即停止尝试为裸IP申请免费证书，规避生产环境中不可预知的信任链中断风险；
• 若确需HTTPS加密能力，请快速注册备案合规域名，并指向对应服务器IP；
• 选择具备国密SM2算法支持、全站点HTTP→HTTPS重定向配置工具的新网SSL证书服务；
• 对于IoT设备或内部系统场景，可联系新网定制私有PKI体系下的终端认证证书方案。

新网已累计为超百万企业提供符合WebTrust审计标准的SSL证书服务，覆盖单域、多域、通配符及EV高等级类型。所有证书默认集成OCSP装订与CRL分发优化机制，显著降低TLS握手延迟。

常见问题

• Q：本地调试是否可用自签名证书代替？A：可以短期使用，但不具备第三方公信力，不适合对外发布服务。
• Q：阿里云ECS公网IP为何能启用HTTPS？A：因其后台自动绑定了平台分配的二级子域名（如xxx.aliyuncs.com），本质仍是基于域名验证。

*本文由新网（Xinnet）内容中心编辑整理，转载请注明出处。