先厘清哪些地方其实没有差别

最常被拿来比较的四件事里，有三件在免费与付费之间完全相同。把这些先排除掉，剩下的才是真正该拿来做决定的依据。

其中最根深蒂固的误解是加密强度。证书本身不决定连接用多强的加密——那是 TLS 握手时由客户端与服务器协商密码套件决定的。一张免费的 DV 证书与一张要价数万元的 EV 证书，加密出来的连接一模一样。早年「128 位 / 256 位」的营销话术，现在已经没有对应的技术现实。

比较项目 实际状况 说明
加密强度 完全相同 由 TLS 握手协商，与证书种类无关
浏览器信任 完全相同 两者都上溯到公开信任根证书
通配符证书 免费也有 Let's Encrypt 通过 DNS-01 提供，不另外收费
验证层级 有差别 Let's Encrypt 只签发 DV，OV 与 EV 必须付费
有效期与续签频率 有差别 Let's Encrypt 90 天且将缩短，商用 DV 目前 200 天
常见的比较项目中，哪些真的有差别。

下表把四个常见的比较项目摊开。只有最后两行是真的有差。

三个真正的差异

排除掉没差的部分之后，剩下这三项才值得拿来做决定：

  1. 验证层级：免费只有 DV Let's Encrypt 只签发 DV（域名验证）证书——它证明你控制这个域名，不证明你是谁。OV 与 EV 需要证书机构实际查验公司登记、联系信息，那个人工程序有成本，所以不可能免费。如果您的客户或合规要求证书里带有经查验的组织信息，这是免费方案无法满足的唯一硬性差别。
  2. 速率限制：大量签发会撞墙 Let's Encrypt 对每个注册域名设有每七天 50 张证书的上限，单张证书最多可包含 100 个标识名称。个人网站与一般企业完全用不到这个额度，但主机托管商、SaaS 平台、或管理大量客户域名的代理商很容易撞上。撞上之后只能等待，没有付费加速的选项。
  3. 保固与支持：有没有人可以找 商用证书附带保固金额，而 DV 证书的保固通常极低甚至没有。实话说，保固条款的适用范围很窄、实际理赔案例罕见，把它当作主要理由并不实际。比较有意义的是支持——付费方案有服务窗口与响应时限，Let's Encrypt 只有社区论坛。出事时这个差别才会显现。

有效期这件事正在快速变动

Let's Encrypt 目前签发 90 天证书，并已宣布将在 2028 年前缩短至 45 天。同时他们在 2026 年 1 月正式开放了「短有效期」证书，有效期仅 160 小时、也就是六天多一点，供需要更高轮替频率的用户选用。

商用证书这边，有效期上限已经随 CA/Browser Forum 的规定降到 200 天，并将在 2029 年降至 47 天。方向是一致的，只是商用目前仍比免费长一些。

这也解释了为什么「免费 vs 付费」这个问题本身正在转移。当证书取得变得便宜且自动，成本重心就从「买证书」移到「把证书部署到所有该去的地方」——后者跟证书要不要钱完全无关。

什么情况下付费是对的选择

依实际需求而非价格来看，付费合理的情境大致有四种：需要 OV 或 EV（合规、采购规范、或想在证书中呈现经查验的组织身份）；签发量会撞到速率限制；需要有合同与响应时限的支持；以及特定平台或设备只接受特定证书机构。

反过来说，如果您的需求是「一个域名、DV 就够、能自己跑 certbot」，那 Let's Encrypt 就是正确答案，付费买不到任何额外的东西。这种情况下建议付费的人，要么没搞清楚，要么在卖东西给你。

三个层次的判断

依序回答这三个问题就能做出决定：

一、你需要的是 DV 还是 OV／EV？

这是唯一的硬性分界。只需要 DV，免费与付费在证书本身没有实质差异；需要 OV 或 EV，就只能付费，因为那包含人工查验程序。先确认客户或合规到底有没有这个要求，很多人是凭印象假设需要。

二、你的签发量与频率是多少？

单一域名或少数子域名，免费方案的额度绰绰有余。若您管理数十上百个客户域名，先估算每七天的签发量是否接近 50 张的上限。撞上限的后果是签不出来、只能等，这对托管业务是实质风险。

三、部署到底卡在哪？

如果痛点是「证书要推到六个地方、每次都要手动」，那换成付费证书不会解决任何问题。这是自动化的题目，跟证书来源无关——先确认你要解决的是取得证书，还是部署证书。

评估前该确认的三件事

在比较方案之前，先把这三项厘清：

  1. 确认合规要求是真的存在 「我们需要 EV」有时只是沿袭旧规范。现代浏览器早已不再对 EV 证书显示特殊的公司名称标示，视觉上与 DV 没有差别。要确认需求来自明文规定，而不是对「绿色地址栏」的旧印象。
  2. 确认你的自动化能不能跑 有效期只会越来越短，两边都一样。如果目前还是手动更新，那才是该先解决的事——它比选哪家证书更影响往后的运维成本。
  3. 确认你要解决的是哪一段 取得证书、部署证书、监控证书是三件不同的事，成本结构也不同。买证书只解决第一段，后两段不会因为付费而自动消失。

小结

免费与付费证书在加密强度、浏览器信任、通配符支持上没有任何差别。真正的分界是验证层级（Let's Encrypt 只发 DV）、速率限制，以及有没有合同支持。如果您只需要 DV、量不大、也能自己跑自动化，免费就是正确答案。

但如果您实际卡住的是部署——证书要同时上到多个 CDN 节点、跨不同服务商——那是另一个问题，换证书来源解决不了。我们的 SSL 平台处理的正是这一段：DNS 验证与多节点推送，证书本身由 GoGetSSL DV CA 签发，信任链上溯至 Sectigo 公开信任根证书。

参考资料