03 / DIGITAL CERTIFICATES数字证书 · SSL / TLS
看不见的连接。
看得见的信任。
从一次访问开始，
看懂 HTTPS 背后的
身份验证与加密通信。
CONNECTION LAB / 连接实验室交互式原理演示
01访问者YOUR BROWSER
发起 HTTPS 访问
TRANSPORT LAYER SECURITY
TLS
连接待建立
02网站服务端YOUR WEBSITE
等待协商
先说一声，Hello。
浏览器与服务端开始协商 TLS 版本和加密参数。一段受保护的连接，从双方建立共同规则开始。
概念演示，阶段为便于理解而简化；不会检测当前网站，也不会实际发起 TLS 握手。真实握手流程随协议版本与配置而异。
身份验证 / 数据加密 / 传输完整性找到适合的证书 ↘
01 / VALIDATION同样是 HTTPS，
同样是 HTTPS，
身份核验各有层次。
DV、OV、EV 的主要区别在于身份核验范围。
选择的依据，是业务需要验证什么。
核验域名控制权从域名，
从域名，
建立连接的基础。
确认申请者对域名的控制权，不核验企业组织身份。适合主要需要 HTTPS 加密通信、没有组织身份展示要求的站点。
- 身份范围
- 域名控制权
- 申请准备
- 可配合域名验证的管理权限
- 选型关注
- 域名覆盖范围、部署环境与续期方式
核验域名与组织身份让站点背后的
让站点背后的
企业身份有据可查。
在域名控制权核验之外，核验申请组织的身份信息。适合希望证书包含经过核验的组织信息的企业网站与服务。
- 身份范围
- 域名控制权 + 组织信息
- 申请准备
- 企业资料及可配合核验的联系人
- 选型关注
- 组织信息准确性、审核配合与部署安排
更严格的组织身份核验对身份的确认，
对身份的确认，
再深入一层。
依据扩展验证规范，对组织身份、运营存在及申请授权等进行更严格核验。适合对组织身份验证有明确要求的业务。
- 身份范围
- 域名控制权 + 扩展组织核验
- 申请准备
- 组织资料、授权与相关核验配合
- 选型关注
- 业务要求、资料完整度与审核安排
核验层次不等同于加密强度。连接的保护能力还取决于协议与服务端配置；浏览器如何展示证书信息，以浏览器自身规则为准。
02 / DOMAIN COVERAGE先划定，
先划定，
需要覆盖的范围。
为一个明确的域名配置证书。示例仅覆盖 www.example.com；其他访问地址需单独核对。
覆盖示意
www.example.comwww.example.com覆盖api.example.com未包含example.net未包含v2.api.example.com未包含
示例域名仅用于说明。根域名、www 与其他名称是否包含，以证书实际列出的域名为准；EV 不使用通配符证书。
A
域名边界
一个主域名、多个域名，还是一组子域名？先确认实际访问地址，再评估证书覆盖范围。
DOMAIN / SCOPEB
运行位置
云服务、CDN、负载均衡或自有服务器，配置路径各不相同。部署后核对证书链、域名匹配与访问表现。
SERVER / DEPLOYMENTC
持续维护
记录有效期与责任人，确认续期方式及更新后的部署检查。具体支持范围与实施安排，在沟通后确定。
RENEWAL / CONTINUITYLET’S MAKE THE CONNECTION.把下一次连接，
聊聊证书↗把下一次连接，
接稳。
带上你的域名和部署环境，我们从这里开始。
先说一声，Hello。浏览器与服务端开始协商 TLS 版本和加密参数。一段受保护的连接，从双方建立共同规则开始。发起 HTTPS 访问等待协商连接待建立HELLO · YOUR BRANDCLIENT HELLO →← SERVER RESPONSE下一步 · 验证身份
确认，连接到的是谁。服务端提供证书。浏览器检查证书链是否受信任、域名是否匹配、证书是否在有效期内等，并验证服务端对相应私钥的持有。核验证书与服务端身份提供证书与身份凭据核验服务端身份DOMAIN · CHAIN · VALIDITYCERTIFICATE + IDENTITYVERIFY SERVER IDENTITY下一步 · 协商密钥
约定这段会话的秘密。双方基于握手交换的信息，按协议生成本次通信使用的密钥。它们用于后续的加密与完整性保护；此处仅以图形表示协商过程。生成会话通信密钥生成会话通信密钥协商通信密钥KEY AGREEMENT · SESSIONKEY AGREEMENT DATA →← KEY AGREEMENT DATA下一步 · 加密通信
内容开始，受保护地往返。握手完成后，应用数据通过加密连接传输，并受到完整性保护。传输保护不能代替网站自身的安全措施，也不能证明业务内容可信。应用数据已加密传输接收并解密应用数据加密通信已建立8A 4F C2 91 · 7B E0 3D 6AENCRYPTED APPLICATION DATA →← ENCRYPTED APPLICATION DATA重新体验连接
www.example.com为一个明确的域名配置证书。示例仅覆盖 www.example.com；其他访问地址需单独核对。
3 explicitly listed domains把多个明确列出的域名放进同一张证书。示例列出三个名称，具体数量与组合形式需按产品确认。
*.example.com用 *.example.com 匹配同一域名下一级的子域名。它不会自动覆盖根域名 example.com 或 v2.api.example.com 这样的更深层名称。