HTTPS 证书选免费还是付费？3 个维度对比后再决定

网站加 HTTPS，个人博客、作品集和测试站用免费证书就够，不必每年花钱；只有需要向客户证明企业身份、或者要人工售后兜底的场景，才值得买付费证书。判断只看三条：谁负责续期、证书里写不写企业名、出问题找谁。下面把这三条拆开对比，再给一套能照着做的安装与验证步骤。

结论先放这：三类人对号入座

• 个人博客、作品集、内部测试环境：用 Let's Encrypt 一类的免费证书，配面板自动续签，一年零成本。

• 小微企业官网、需要发票和工单支持：买单域名付费 DV 证书，钱主要花在续期提醒和客服上。

• 电商、金融、要展示企业实名：选 OV 及以上，CA 会核对营业执照，签发给公司主体。

先纠正一个常见误解：付费不等于更安全。免费和付费用的是同一套 TLS 加密标准，区别在验证深度和售后服务。

维度一：有效期与续期，免费 HTTPS 证书靠自动化

免费证书有效期短，Let's Encrypt 签发的是 90 天，一年要续 4 次左右；付费证书常见 1 年期，一年操作一次。

但「续得勤」不等于「更麻烦」：

1. 用宝塔、1Panel 这类面板，进 SSL 页面点申请，勾上自动续签，到期前 30 天面板会自己续。

1. 命令行用 acme.sh 或 certbot，装完加一条定时任务，让程序每天检查一次是否需要续期。

1. 付费证书也不是不用管，厂商到期前会发邮件，但邮件进垃圾箱、证书过期、网站被浏览器拦下的情况每年都有。

避坑：自动续签要保证续期时 80 或 443 端口能从公网访问；套了 CDN 之后 HTTP 验证经常失败，改成 DNS 验证更稳。

维度二：证书里写不写企业名，决定要不要付费

• DV（域名验证）：只证明你控制这个域名，几分钟签发，免费证书和便宜的付费证书都是这一类。

• OV（组织验证）：CA 核对营业执照等材料，证书详情里能看到公司名，通常 1 到 3 个工作日。

• EV（扩展验证）：审核更严，但 Chrome 等浏览器从 2019 年起就不再在地址栏显示绿色公司名，只有点开证书才看得到。

所以，如果你的访客根本不会点开证书看，OV/EV 买到的是合规材料和审核流程，不是浏览器上的视觉差异。

维度三：兼容性与售后，付费买的是兜底

• 兼容性：免费证书在主流浏览器和新版 iOS、安卓上没问题；十年前的旧安卓机、部分老采集器和旧 Java 客户端可能报证书错误。上线后用手机和电脑各开一次，再在命令行跑 curl -I https://你的域名，返回 200 就算通。

• 售后：付费证书有工单甚至电话，免费证书只有社区和文档。

• 赔付：付费证书一般带一定额度的保障承诺，免费证书没有。

HTTPS 证书装好后的 4 步操作与验证

以宝塔面板为例，Linux 版和 Windows 版路径基本一致：

1. 把域名解析到服务器 IP，ping 你的域名 看到的地址是自己的服务器，再往下走。

1. 面板 → 网站 → 设置 → SSL → Let's Encrypt，勾选要签的域名，点申请，看到「已部署」就成功了。

1. 打开「强制 HTTPS」，面板会写入 301 跳转；手写 Nginx 就是 return 301 https://$host$request_uri;。

1. 浏览器访问 https://域名，地址栏出现锁形图标；按 F12 看 Console，出现 mixed content 警告，就把页面里的 http:// 图片、JS、CSS 改成 https:// 或 // 开头。

装完做四项检查：http 是否跳到 https、证书到期时间、页面有无混合内容、站内链接有没有还在用 http 的。

常见问题（FAQ）

免费证书会不会被浏览器标成不安全？

不会因为「免费」被标。浏览器报不安全，多半是证书过期、域名不匹配，或者页面里混了 http 资源。

一个证书能用在几个域名上？

单域名证书只管一个；通配符证书管 *.example.com 这一层所有子域，必须走 DNS 验证；多域名证书按数量计价，适合域名不多的站。

套了 CDN 之后证书装在哪？

两处都要：源站装一张，CDN 后台再上传一张，回源模式选「完全（严格）」，否则容易出现重定向循环，页面打不开。

HTTPS 开了网站变慢怎么办？

先开 TLS 1.3 和 HTTP/2，静态资源交给 CDN。握手本身开销不大，真正拖慢的多半是没压缩的大图和混合内容。

HTTPS 证书选免费还是付费，本质是选「自己维护」还是「花钱买人管」。个人站先用免费证书把 HTTPS 跑起来，等有了企业主体和客户合规要求，再升级也不迟。

最后更新：2026-10-23（证书有效期、面板界面与厂商政策可能调整，请以官方页面为准）。