如何决定在哪里购买通配符 SSL 证书？

Question

最近我需要购买一个通配符 SSL 证书（因为我需要保护多个子域），当我第一次搜索在哪里购买时，我对选择的数量、营销声明和价格范围感到不知所措。我创建了一个列表，以帮助我了解大多数证书颁发机构 (CA) 和经销商在其网站上布满的营销噱头。最后，我个人的结论是，几乎唯一重要的是 CA 网站的价格和舒适度。

问题：除了价格和一个不错的网站，在决定在哪里购买通配符 SSL 证书时，还有什么值得我考虑的吗？

Answer 1

我认为，关于决定在哪里购买通配符 SSL 证书，唯一重要的因素是 SSL 证书的第一年费用，以及卖家网站购买和设置证书的愉快程度（即用户体验） .

我知道以下几点：

• 关于保修的声明（例如 1 万美元、125 万美元）是营销噱头- 这些保修可以保护特定网站的用户免受 CA 向欺诈者（例如网络钓鱼站点）颁发证书并因此导致用户损失金钱的可能性（但是，问问自己：有人在您的欺诈网站上花费/损失了 1 万美元或更多吗？哦等等，您不是欺诈者？毫无意义。）

• 有必要生成一个2048-bitCSR（证书签名请求）私钥来激活您的 SSL 证书。根据现代安全标准，不允许使用私钥大小小于 2048 位的 CSR 代码。在此处和此处了解更多信息。

• 权利要求书中99+%，99.3%或99.9%浏览器/设备的兼容性。

• 索赔的快速发行和安装方便。

• 有退款满意保证很好（15 天和 30 天很常见）。

以下通配符 SSL 证书基本价格（非销售）列表以及颁发机构和经销商于 2018 年 5 月 30 日更新：

 price |
/ year | Certificate Authority (CA) or Reseller
($USD) |
-------+---------------------------------------
    $0 | DNSimple / Let's Encrypt *
   $49 | SSL2BUY / AlphaSSL (GlobalSign) *
   $68 | CheapSSLSecurity / PositiveSSL (Comodo) *
   $69 | CheapSSLShop / PositiveSSL (Comodo) *
   $94 | Namecheap / PositiveSSL (Comodo) * (Can$122)
   $95 | sslpoint / AlphaSSL (GlobalSign) *
  $100 | DNSimple / EssentialSSL (Comodo) *
       |
  $150 | AlphaSSL (GlobalSign) *
  $208 | Gandi
  $250 | RapidSSL
  $450 | Comodo
       |
  $500 | GeoTrust
  $600 | Thawte
  $600 | DigiCert
  $609 | Entrust
  $650 | Network Solutions
  $850 | GlobalSign
       |
$2,000 | Symantec

* 请注意，DNSimple、sslpoint、Namecheap、CheapSSLShop、CheapSSLSecurity 和 SSL2BUY 是经销商，而不是证书颁发机构。

Namecheap 提供 Comodo/PostiveSSL 和 Comodo/EssentialSSL 的选择（尽管两者之间没有技术差异，只是品牌/营销 - 我向 Namecheap 和 Comodo 询问了这个问题 - 而 EssentialSSL 的成本更高（100 美元对 94 美元） ）。DNSimple 转售 Comodo 的 EssentialSSL，同样，它在技术上与 Comodo 的 PositiveSSL 相同。

请注意，SSL2BUY、CheapSSLShop、CheapSSLSecurity、Namecheap 和 DNSimple 不仅提供最便宜的通配符 SSL 证书，而且在我查看的所有站点中，它们的营销噱头也最少；并且 DNSimple 似乎没有任何花哨的东西。以下是最便宜的 1 年期证书的链接（因为我无法在上表中链接到它们）：

• SSL2购买
• 廉价SSLShop
• 廉价SSL安全
• 单点
• 名称便宜
• DNSimple

截至 2018 年 3 月，Let's Encrypt支持通配符证书。DNSimple 支持让我们加密证书。

Answer 2

另一个需要考虑的问题是证书的重新颁发。

直到心脏出血错误出现之前，我才真正理解这意味着什么。我以为这意味着他们会给你一份原始证书的第二份副本，我想知道一个人必须是多么混乱才能需要这项服务。但事实证明，这并不意味着：只要在原始证书的有效期内发生新的公钥，至少一些供应商会很乐意标记新的公钥。我认为他们然后将您的原始证书添加到某些 CRL 中，但这是一件好事。

您想要这样做的原因是您已经损坏或丢失了您的原始私钥，或者通过某种方式失去了对该密钥的独占控制权，当然还有在 OpenSSL 中发现的一个全球性错误，这使得您的私钥可能密钥被敌对方提取。

心血来潮后，我认为这是一件肯定的好事，现在在以后购买证书时要注意它。