【导读】SSL证书正从'可用功能'升级为'合规刚需'。未启用HTTPS的企业面临搜索引擎降权、支付接口拒连、监管通报三重压力。
新网SSL证书支持国密SM6+RSA双算法适配，覆盖全行业信创环境。

全球主流浏览器全面收紧非HTTPS资源策略

Chrome 125起默认屏蔽混合内容；Safari强制拦截HTTP API调用；微信小程序平台自2024年Q2起拒绝加载无有效SSL证书的后端域名。
据W3Techs统计，TOP 100万站点HTTPS覆盖率已达98.2%——剩余1.8%多为企业内部系统或老旧CMS实例。
该趋势倒逼运维团队重新评估证书生命周期管理机制：

• - 单域名证书难以支撑微服务架构下的数十个子域通信需求
• - 手动更新导致平均每年发生2.3次因过期引发的服务中断
• - 自签名证书被现代终端标记为不安全，损害用户信任度

金融与政务类系统亟需符合《密码法》的国产化替代方案

银保监办发〔2023〕102号明确要求关键信息系统TLS协议栈须完成商用密码应用安全性评估（GM/T 0054）。
传统国际CA签发的RSA证书存在根证书预置依赖境外机构的风险。
新网已完成国家密码管理局认证的SM2 SSL证书全流程服务能力验证，在保持Nginx/Apache/OpenResty零改造前提下实现平滑切换：

• - 支持SM2/RSA双轨并存过渡模式
• - 兼容统信UOS、麒麟V10等国产操作系统内建Trust Store
• - 提供CSP/Vendor对接文档包（含OpenSC/PKCS#11集成指南）

自动化证书轮换应纳入CI/CD标准流水线

Kubernetes集群中Ingress Controller日均新增Pod超500个时，人工维护证书极易产生错漏。
实测数据显示：接入ACME v2协议的新网API网关可在证书到期前72小时触发自动续订流程，并同步推送至全部边缘节点。
推荐实施路径如下：

1. 在GitOps仓库定义cert-manager Issuer资源配置模板
2. 绑定新网DNS POD记录自动解析权限（无需开放NS服务器控制台）
3. 设置Webhook通知钉钉群组审核变更单
4. 灰度发布阶段校验OCSP Stapling响应延迟≤15ms

*本文由新网（Xinnet）内容中心编辑整理，转载请注明出处。

常见问题：
Q1：旧有SHA-1签名证书还能继续使用吗？
A1：不能。主流浏览器已于2024年1月终止对该哈希算法的支持，访问将显示红色警告页。
Q2：通配符证书是否适用于IP地址直连场景？
A2：否。RFC 6125明确规定Subject Alternative Name中ipAddress字段不可用于wildcard匹配，建议改用SAN IP型证书。