我应该为我的 Web 服务购买哪种 SSL 证书？答案

【问题标题】：What kind of SSL certificate I should buy for my web services?我应该为我的 Web 服务购买哪种 SSL 证书？
【发布时间】：2016-06-21 07:24:55
【问题描述】：

我是 Web 应用场景中 HTTPS/SSL 的新手。

我有许多 RESTful Web 服务在我们网站的特定子域上运行：“f31.mycompany.com”。这些 Web 服务由各种 ASP.NET MVC 应用程序和一些 NativeScript 应用程序使用。 Web 服务的路径通常类似于“http://f31.mycompany.com/webservicegroup1/service1.svc”。

我被要求使用 HTTPS 公开这些服务。我们尝试了自签名证书，但该实验失败了，因为 Web 应用程序由于自签名证书的信任问题而崩溃。

现在我必须购买 SSL 证书并将其范围缩小到 DV 证书。我对以下内容感到困惑：

每个网络服务是否需要单独的 SSL 证书？所有服务都在同一个域“f31.mycompany.com”上运行，但位于它们自己的文件夹/命名空间中，正如我提到的“f31.mycompany.com/webservicegroup1/service1.svc”、“f31.mycompany.com/webservicegroup2/” service2.svc' 等等。

注意：这不是针对购物车类型的应用程序，而是针对我们的业务应用程序，由于安全原因，我们需要 HTTPS 进行 RESTful 数据传输。

【问题讨论】：

标签： asp.net web-services wcf ssl

【解决方案1】：

每个网络服务是否需要单独的 SSL 证书？所有服务在同一个域上运行

不，您必须确保您的域和主机（证书中的名称和主题备用名称）匹配任何域/ s，您的服务正在使用的主机。

典型的标准证书有：

www.mydomain.com 作为name
mydomain.com 作为subject alternative name

反之亦然

这意味着能够在 www 和“裸域”（没有“www”的域）上使用 SSL/HTTPS。

在您的情况下，您可能需要与您的提供商合作，以便您可以利用这一点，因为您将使用 f31 作为您的“主机”之一 - 这很可能（自动）翻译为能够使用：

实际上，以下是在 CSR 中指定 SAN 的指南： How to Request a Certificate With a Custom Subject Alternative Name

这些天来，即使您不使用“购物”，ensure your cert uses "modern" crytpo algorithms (not SHA-1 or older) - 不确定是否还有供应商这样做，所以仅供参考...

Hth.

【讨论】：

实际上，如果您希望您的证书对 mydomain.com 和 www.mydomain.com 都有效，则两者都需要在 SAN 中，而不仅仅是 mydomain.com。此外，它与“域”无关，仅与主机有关（在这种情况下，mydomain.com 和 www.mydomain.com 都是潜在的主机）。
@Bruno - AFAIK、subject 和 subject alternative name - 前者通常是购买证书时唯一询问的问题，后者是“自动的”（尽管并非所有提供商/类型的证书）....
不确定你的意思。主题是一个专有名称 (DN)，具有多个 RDN（“公用名”是其中之一，当没有主题备用名称时，它用作主机名）。主题备用名称是一个可选扩展名，可以有多个值。如果有任何 DNS SAN 条目，则主题 DN 中的 CN 将被忽略。如果您希望证书在有和没有www. 的情况下都有效，则这两个值都需要在 SAN 中。当您询问任一主机名（但这取决于 CA）时，CA 通常会自动向两个 SAN（有和没有 www.）颁发证书。
@Bruno - 谢谢你的详细解释 - 我的理解不如你的详细/深入！