网络加密技术相关证书，普通人怎么选？

公司邮箱突然收不到加密邮件，浏览器地址栏显示“不安全”，开发小程序时提示证书校验失败——这些不是玄学报错，而是网络加密技术相关证书在悄悄起作用。

证书不是摆设，它就在你每天点开的网页里

当你访问 https://www.bankofchina.com 或 https://weixin.qq.com，浏览器自动验证的，就是服务器端部署的 SSL/TLS 证书。它像一张带防伪纹路的电子身份证，证明“眼前这个网站真是它自己，没被中间人掉包”。没有它，传输的账号密码、聊天记录、支付信息，就可能裸奔在公网路上。

常见证书类型，别被名字绕晕

实际用得最多的就三类：

• DV（域名验证型）：只需证明你控制了某个域名（比如通过 DNS 解析或文件上传），几分钟就能签发，免费版 Let's Encrypt 就是典型。适合个人博客、测试站、小工具后台；
• OV（组织验证型）：除域名外，还要提交营业执照、企业名称、地址等材料，CA 机构人工审核。浏览器地址栏会显示公司名，适合中小型企业官网、SaaS 后台；
• EV（扩展验证型）：审核最严，现在主流浏览器已弱化绿色地址栏显示，但仍是金融、政务类系统倾向选择，比如网银登录页。

普通用户不用申请 OV/EV，但装软件、连内网系统时，可能会遇到自签名证书——比如公司内部 Git 服务或打印机管理页弹出“此证书不受信任”，这时不是网站有问题，而是你的电脑没认出它用的那张“自家发的证”。

动手加一张信任证书（Windows/macOS 通用思路）

以 macOS 为例：双击下载的 .crt 或 .pem 文件 → 钥匙串访问打开 → 找到该证书 → 右键“显示简介” → “信任”下拉菜单选“始终信任” → 输入密码确认。Windows 用户可在“运行”中输入 certmgr.msc，把证书拖进“受信任的根证书颁发机构”文件夹。

注意：只对来源明确的证书操作，别随便点开陌生人发来的 .cer 文件双击安装。

开发者常碰的坑

写 Python 脚本调 API 报 SSLError: certificate verify failed？不是代码错，大概率是系统没装好根证书包。Mac 上试试：

pip install --upgrade certifi

import requests
requests.get('https://api.example.com', verify='/path/to/cacert.pem')

Node.js 项目跑在 Docker 里连不上 HTTPS 接口？记得在镜像里补上 CA 证书：

RUN apt-get update && apt-get install -y ca-certificates

证书有效期普遍为 90 天（Let's Encrypt）或 1–2 年，过期后网站会变红叉、App 请求直接中断。不少运维同事凌晨三点被告警电话叫醒，就是因为忘了自动续期脚本挂了。