选择正确的 SSL 证书

Question

我们希望购买一些 SSL 证书来保护电子商务网站的登录页面。不需要确保实际支付过程的安全，因为这由拥有自己的 verisign 证书的第三方保护。RapidSSL 看起来是一个不错（而且便宜）的选择，但一位销售人员告诉我，它们仅适用于“测试站点”，并建议我们使用 4 倍成本的选择。任何人都可以就我们应该寻找什么以及我们应该考虑什么提出任何建议吗？

谢谢。

Answer 1

无论销售人员怎么说，证书在加密方面客观上几乎都是一样的。它们都启用了“足够好”的加密，这实际上主要取决于 Web 服务器的配置，并且在某种程度上取决于浏览器的功能。美国对出口强加密的禁令是在几年前解除的，所以今天几乎所有的浏览器都将支持 128 位的 Twofish 或 AES 加密，如果服务器建议这样做的话。（令人惊讶的是，由于系统管理员的无知，或为了降低服务器上的 CPU 负载，许多服务器仍然使用 56 位 DES、RC4 或其他较弱的方案。）

长菊花链证书信任关系的问题也几乎消失了。今天的大多数浏览器都有一套相当完整的预装可信 CA。打开您的浏览器证书 UI 以查看您的（Firefox 3：工具 > 选项 > 高级 > 加密 > 查看证书）。

您不时会发现促销活动，经销商以 20 美元左右的价格提供 Comodo、Digicert 或类似证书。

您的网站在客户中激发的“信任”程度可能是一个考虑因素。可以说，兼容浏览器中的 Verisign 站点封条和绿色扩展验证栏比使用 GoDaddy 证书的简单 128 位加密更好。很难说，这在很大程度上取决于您的用户人口统计、年龄、计算机知识等。

一件事：保持您的 DNS Whois 信息准确可能是有益的，因为这是 CA 在颁发证书之前验证您的方式的重要组成部分。我想从与您有业务往来的人（例如您的网络主机/DNS 注册商）那里获取证书比通过 Comodo、Thawte 等进行验证更容易。

所以我的建议是评估你的用户，以及网站印章上更“值得信赖”的品牌是否会创造更多的销售额。然后执行以下操作之一：

• 从经销商/DNS 注册商/已经拥有帐户的任何人那里获取最便宜的 128 位证书。也许简要调查一下谁签署了证书，以及根 CA 是什么，但不要担心，除非它是一个非常模糊的 CA 链。
• 获得具有良好品牌价值的 Verisign 或类似的知名（并且非常昂贵）SSL 证书，并在显眼位置显示其站点印章。考虑申请扩展验证证书。

恕我直言，“扩展验证”证书增加了一些价值，因为浏览器通过绿色地址栏、突出的公司名称等在视觉上向用户保证一切正常。不幸的是，这些证书也很昂贵，而且验证起来更烦人。

Answer 2

我绝对可以理解您的困惑，因为这是一个令人困惑的领域。正如其他人在这里所说的那样，通常证书是一种证书，提供相同级别的保护，并且对最终用户来说看起来相同。然而，存在差异，主要是关于验证级别。

验证级别

验证分为三个基本级别：仅域、域和业务、域业务和代表身份。仔细想想，仅域实际上是非常弱的身份验证，它并不能证明您就是您所说的人或您有权使用该品牌。然而，对于大多数最终用户来说，他们不会知道其中的区别，他们会看到锁定的图标。域和业务是通常提供的，它们通常需要像公司信用卡这样的小东西来验证您是相关业务。

扩展验证是一项新标准，需要 CA 采取额外步骤来验证您确实是您所说的人，并且是允许以该名称进行交易的法律实体。有关更多详细信息，请参阅维基百科的条目。在 Firefox 中，EV 证书将显示为带有公司名称的 URL 左侧的绿色框。

赔款

如果其他人欺诈性地使用您的证书或来自同一 CA 的域，每个 SSL 提供商将提供不同的赔偿保险。我认为人们真的需要走这条路是非常罕见的

跨浏览器覆盖

通常，所有主要的 SSL 提供商都会立即在所有主要操作系统上得到支持。有些可能需要您提供中间链包，这可能很麻烦。

撤销

并非所有 CA 都支持撤销证书的能力 - 当我上次看到这个时，让我感到惊讶的是只有少数列出了证书撤销 URL。如果您认真对待您的安全，请选择一个确实有撤销 URL 的。

概括

您的需求听起来基本而简单，我建议您购买便宜的东西。RapidSSL、InstantSSL、GoDaddy 或任何其他大型播放器都很好。