REST Web服务的SSL证书(由Android使用)？

Question

我有一个网站,其中包含一些Android应用程序使用的RESTful Web服务.我想让所有请求都通过HTTPS.因此,我需要为我的网站提供SSL证书.

问:我是否需要购买SSL证书？在这种情况下我是否可以使用自签名证书？(我不想在我不需要的东西上浪费钱.)

我可以想到这些方法:

1. 购买带有扩展验证的SSL证书(绿色地址栏).可能没必要.
2. 购买SSL证书而不进行扩展验证.这应该足够了,不是吗？
3. 自签SSL证书.不确定这意味着什么？

Answer 1

如果您最关心的是不花钱，http://www.startssl.com/提供一年免费基本 SSL 证书，因此可能值得研究。我暂时不知道 Android 中默认信任哪些 CA，因此从应用程序的角度来看，它可能实际上与自签名证书相同。

使用自签名证书需要找到一种方法来确保 Android 应用程序需要该自签名证书，并且不仅信任您的初始证书，还信任将来的任何替换证书。我怀疑这比它值得的麻烦更多，尽管我对 Android 开发或相关应用程序了解不多，所以我可能高估了所涉及的难度。

EV 证书确实为客户提供了更有力的保证，即该服务实际上是您的服务并由您拥有，但它确实会产生额外的费用。选择 EV 与 DV 证书更多地取决于风险/回报判断。有趣的是，我通常只在金融网站和其他你通常期望找到高安全标准的网站上看到 EV 证书。