为什么证书自动化会卡在私钥这一关
证书管理的痛点表面上是流程琐碎：手动创建 DNS 验证纪录、下载证书、逐一上传到服务器与各家 CDN，效期越缩越短，漏掉一次网站就跳出不安全警告。自动化平台能解决这些。
但真正让企业卡住的通常是另一件事：自动化意味着某个系统握有你的私钥。资安审计会问「密钥存在哪里」「谁能下载」「下载有没有纪录」，而多数平台的答案是「存在我们这里」。这一题答不好，采购流程就停在那里。
Kineticlinks 把这一题交回给你：三种私钥模式，包含让密钥在你自己机房产生、永远不上传的 代理程序模式。平台托管的私钥缺省不能下载，要由管理员针对该账号明确打开，打开后每一次下载都写进审计纪录。我们也把完整的安全性说明公开在平台上，包含还没做到的部分。
适用场景
从单一域名到需要通过审计的企业环境
需要通过资安问卷的采购
密钥存放、权限分离、审计纪录、事件通报时效都有公开的书面答案可以直接引用。
托管多个客户域名
集中管理大量域名的申请与续签状态，以角色与权限区分谁能动哪些证书。
内网与地端设备
机房里不对外的设备，由你自己的代理程序经 SSH 安装证书，私钥不离开内网。
跨 CDN 部署
同一张证书部署到多家 CDN，完成后再由节点巡检确认真的生效。
与一般证书平台的差别
差异集中在密钥的掌控权、集成广度与事后验证
三种私钥模式，由你选
平台托管、自备 CSR（私钥完全不经过平台）、代理程序模式（密钥在你机房产生并留在原地）。
DNS 与 CDN 集成覆盖广
10 家 DNS 服务商自动完成域名验证，7 家 CDN 自动部署，不需要手动散布 API 密钥。
部署后的节点巡检
推送成功不等于装对了。平台会从多个边缘节点实际连接，确认证书链与生效状态。
团队治理与审计
两步骤验证、五种角色逐项权限、API 密钥范围限制、订单核准流程与可导出的审计纪录。
安全性与治理
这些是平台目前实际做到的，完整说明（含还没做到的部分）公开在平台的安全性页面
两步骤验证与登录保护
支持验证器 App 与备援码，拥有者可要求全团队激活；可设置闲置自动注销与允许登录的来源网络。
五种角色，逐项权限
拥有者、admin、operator、billing、viewer；每一条 API 路由都必须声明所需权限，否则自动测试会让建置失败。
API 密钥有范围限制
只能做勾选的事，不超过创建者的权限；可设到期日与来源 IP 范围，创建者离开团队时自动失效。
订单核准与审计纪录
可要求 operator 与 API 密钥的订单先经核准；登录、权限变更、私钥下载等都会记录，可导出 CSV 或用 API 拉取。
方案与价格
证书依张计价，自动化功能依订阅方案提供。新账号注册即享 14 天 Pro 试用。
Basic
免费
证书照常申请与管理，自动化功能不含。新账号试用到期后的缺省方案。
Pro
US$29 ／月
CDN 自动部署、DNS 自动验证、节点巡检，团队上限 5 位成员。年缴 US$319。
Enterprise
US$149 ／月
Pro 的全部功能，加上内网代理程序与不限成员数。年缴 US$1,639。
证书另外计价，三种方案相同
- 单一域名证书 US$30 起／年，通配符证书 US$90 起／年，从账户余额扣款
- 证书由 GoGetSSL DV CA 签发，信任链上溯至 Sectigo 公开信任根证书
- 证书到期追踪，效期内重签不另外收费
- 多域名（SAN）与 12／24／36 个月多年期可另行报价，域名数量多有折扣
- 所有方案的证书张数都不限
14 天 Pro 试用到期后自动转为 Basic，不会自动扣款。首张证书若不符合需求可全额退费。平台储值目前支持加密货币，其他付款方式请与我们联系。
适合的用户类型
以下类型的团队经常使用 SSL 证书自动化平台
网站托管与代理商
需同时管理多个客户域名证书的托管业者或数字代理商。
有审计要求的企业 IT
需要向审计或客户说明密钥存放、权限分离与操作纪录的内部团队。
SaaS 与平台服务商
需要为大量自订域名（如客户子域名）自动核发证书的服务。
有地端设备的团队
机房或内网里有不对外的服务器，但同样需要有效证书的团队。
常见问题
我的私钥会被平台看到吗？
取决于你选哪一种模式。「平台托管」由平台产生并加密存放，缺省不能下载，要管理员针对该账号明确打开，之后每次下载都会写进审计纪录；「自备 CSR」的私钥完全不经过平台；「Agent 模式」的密钥由你机房里的 Agent 产生、留在你自己的机器上，永远不会上传。
支持哪些 DNS 服务商的自动验证？
目前集成 10 家：GoDaddy、NS1、Namecheap、Cloudflare、AWS Route 53、腾讯云 DNSPod、Google Cloud DNS、UltraDNS、Constellix、Akamai Edge DNS。清单持续扩充，若你使用的服务商尚未支持，可改用手动验证，或与我们联系评估集成。
证书可以自动推送到哪些 CDN？
目前支持 7 家：Apeiro8 CDN、腾云 CDNRay、CDNetworks、阿里云、腾讯云 CDN／EdgeOne、EdgeNext、CDN5。推送完成后，平台会从节点巡检实际连接确认证书链与生效状态，而不是只回报 API 调用成功。
内网里不对外的服务器也能自动部署吗？
可以，使用内网代理程序（Agent）：一台 Linux 机器运行 Agent 作为 hub，经 SSH 把证书安装到你列出的设备（nginx、haproxy、Apache）。私钥在 hub 上产生，只在你的内网传递，平台看不到。Agent 的安装包附有签章，可用 ssh-keygen -Y verify 验证来源。此功能需要 Enterprise 方案。
这张证书是谁签发的？主流浏览器都会信任吗？
证书由 GoGetSSL 的 DV CA 签发，信任链往上经 USERTrust 连到 Sectigo 的公开信任根证书——该根证书已内置于所有主流浏览器与操作系统的信任库，不需用户额外安装任何东西。
收费方式是什么？有月费吗？
证书依张计价，单一域名 US$30 起／年、通配符 US$90 起／年，效期内重签不加价，从账户余额扣款。自动化功能则依订阅方案：Basic 免费但不含自动化；Pro US$29／月提供 CDN 自动部署、DNS 自动验证与节点巡检，团队上限 5 人；Enterprise US$149／月再加上内网代理程序与不限成员。新账号注册即享 14 天 Pro 试用，到期自动转为 Basic，不会自动扣款。