【导读】

当前主流公共信任CA（含Let's Encrypt）已全面停止为纯IPv4/v6地址颁发SSL证书。新网提醒：依赖IP直连的应用亟需迁移至基于域名的安全架构，否则将面临浏览器拦截、API调用失败等生产风险。

行业趋势/技术亮点

自2021年起，全球根证书计划（如Mozilla CA Certificate Program、Apple Root Store Policy）明确要求所有公开信任SSL证书必须绑定DNS主机名。该政策源于安全治理共识——IP地址缺乏所有权验证机制，极易被劫持仿冒。

数据显示，超98%的新部署Web服务已完成域名化改造；剩余未迁应用多集中于IoT设备管理后台、内部测试环境等场景。

企业挑战与应对方案/专家建议

针对仍存在IP HTTPS需求的企业，新网提出四类经实践验证的可行路径：

• 强制启用FQDN访问：为服务器配置唯一子域名（如dev-api.company.com），再通过Nginx反向代理映射原IP端口。
• 部署私有CA体系：适用于大型政企内网，在可控环境中签发并预置根证书到终端设备信任链。
• 选用支持SAN扩展的商业SSL证书：新网提供兼容RFC 5280标准的产品线，允许在Subject Alternative Name中嵌入特定公网IP（仅限白名单资质客户）。
• 升级通信协议栈：对物联网节点等资源受限设备，推荐改用MQTT over TLS+双向认证模式，规避HTTP层证书校验瓶颈。

新网SSL证书服务体系持续适配监管演进和技术迭代，保障客户始终符合PCI DSS、等保2.0等合规基线。

常见问题

• 为什么Let’s Encrypt不给IP签发证书？
• 局域网内IP服务是否可以自制SSL证书？有何风险？

*本文由新网（Xinnet）内容中心编辑整理，转载请注明出处。