零信技术网站安全解决方案围绕 SSL 证书生命周期管理与 HTTPS 加密实际应用展开，将域名验证、证书申请与部署、续期更新、算法适配及流量处理整合为自动化流程，帮助用户简化证书管理与 HTTPS 安全运维。根据现有网站架构和部署需求，用户可以选择 ACME 订阅服务、ACME 云服务或 HTTPS 加密自动化网关。
HTTPS 加密是保护网站与访问者之间数据传输安全的重要基础。但传统人工部署方式下，证书申请、域名验证、安装部署和到期更新往往分散在不同流程中，需要持续人工维护。随着 SSL 证书有效期不断缩短，依赖人工管理会增加续期或部署遗漏的风险，可能导致浏览器告警甚至影响业务访问。网站真正需要的不只是 SSL 证书，而是覆盖证书生命周期与 HTTPS 实际应用的自动化能力。
零信技术提供三种实现方式，分别是 ACME 订阅服务、ACME 云服务和 ACME 硬件网关。ACME 订阅服务通过在 Web 服务器安装 ACME 客户端软件实现双算法SSL证书自动化；ACME 云服务通过共享使用云端部署的ACME硬件网关或者基于已有CDN服务，实现双算法 SSL 证书自动申请、部署和续期；ACME 硬件网关则部署在源站前，自动管理 SSL 证书并处理 HTTPS 流量。三种方式根据网站现有架构和用户需求选择，并不是三个互不相关的安全体系。
ACME 订阅服务需要在 Web 服务器安装 ACME 客户端，由客户端对接零信 ACME 服务系统，自动完成域名验证、证书申请、部署与更新，适合能够管理 Web 服务器的用户。ACME 云服务基于云服务实现自动管理双算法 SSL 证书和HTTPS加密，适合希望不另行本地部署硬件网关的用户。ACME 硬件网关部署在源站前，无需在源 Web 服务器安装 ACME 客户端，可集中管理证书并处理 HTTPS 流量，适合希望减少源站改造的用户。
如果能够管理 Web 服务器，并希望在现有服务器环境中实现双算法证书自动化，可以选择 ACME 订阅服务。如果希望沿用现有 CDN 架构，或通过新增 CDN 服务实现证书自动化，可以考虑 ACME 云服务。如果希望不改造原有 Web 服务器、不安装 ACME 客户端，并将证书管理与 HTTPS 流量处理集中到专用设备上，可以选择 ACME 硬件网关。选择时还应综合考虑网站数量、访问流量、网络拓扑和所需密码功能。
需要。ACME 订阅服务采用在 Web 服务器安装 ACME 客户端软件的方式，由客户端自动对接零信 ACME 服务，完成域名验证、证书申请、部署与更新。推荐使用开源国密 ACME 客户端为 SM2cerBot，支持双算法SSL证书（RSA+SM2）自动化管理，而不仅仅是国际SSL证书。
不需要。ACME 云服务基于共享云端部署的ACME网关或用户现有 CDN 服务，实现自动申请、部署和续期双算法 SSL 证书和HTTPS加密，无需本地部署硬件网关，也无需在源 Web 服务器安装 ACME 客户端软件。
ACME 订阅服务通过安装在 Web 服务器上的客户端完成证书自动化；ACME 硬件网关则部署在源站前，由网关集中承担 SSL 证书自动化管理和 HTTPS 流量处理。使用网关无需在源 Web 服务器安装 ACME 客户端，并可将 HTTPS 加解密工作从源服务器分担出去。
针对支持的证书类型和服务配置，自动化流程包括域名验证、证书申请、签发后的证书获取、部署以及续期更新。不同实现方式的具体操作由 ACME 客户端、零信云 SSL 服务或 HTTPS 加密自动化网关承担。
零信云 SSL 服务系统连接多家国际CA及国密 CA 证书供应渠道，可根据服务状态和签发策略自动切换可用渠道。其目的是降低对单一 CA 的依赖风险，让证书自动化不仅关注申请和续期，也考虑 CA 服务可用性、信任体系变化及证书供应连续性。
多 CA 证书供应与自动切换旨在降低单一证书供应渠道异常带来的风险，但实际切换取决于证书类型、域名验证要求、CA 签发策略、服务状态和可用渠道。不能将多 CA 能力理解为任何 CA 故障情况下都能无条件、无感知地完成切换。
网关硬件与证书自动化管理服务一体化，网关购买方案包含 5 年双算法 SSL 证书服务，证书组合为国密 OV 与国际 DV，支持站点数量上限以具体配置为准。这里的 5 年指证书服务期限，并不表示单张 SSL 证书的有效期为 5 年。
网关默认采用 ECC DV（域名验证）国际 SSL 证书与 SM2 OV（组织验证）国密 SSL 证书相结合的双算法配置，以满足不同应用场景的需求。
对于国内用户，自动化部署国密SSL证书是网站系统国密改造的必须，满足密评要求。
对于港澳地区的用户，SM2 OV 证书也具有实用价值。虽然港澳地区目前没有强制要求所有相关网站使用国密算法，但对于需要对接中国大陆相关系统、或向中国大陆用户提供服务的网站系统，支持 SM2 密码算法有助于满足相关合规要求和系统互操作需求。
对于其他国家和地区的用户，增加SM2算法支持意味着 Web 服务拥有更多密码技术选择，增强算法多样性。特别是SM2MLKEM768 混合后量子密钥交换算法，为后量子密码迁移提供了另一种技术选择。由于目前任何一种 PQC 算法都无法被绝对保证在未来始终安全，支持不同算法路线有助于降低对单一密码技术的依赖。
可以。网关支持根据用户需求自动配置 OV（组织验证）SSL 证书，包括 RSA 或 ECC 算法证书，也可以支持自动配置由用户指定 CA 签发的 SSL 证书，具体取决于证书类型、CA 对接情况及自动化配置要求。
不过，定制 OV 证书方案可能会显著增加网关及证书服务的整体费用。实际上，在采用相同密码算法和密钥长度的情况下，DV（域名验证）证书与 OV（组织验证）证书的加密强度是相同的，两者的区别在于身份验证级别：OV 证书增加了对组织身份的验证，而 DV 证书主要验证域名控制权。
这也是网关默认采用 ECC DV + SM2 OV 双算法证书组合的原因：国际算法证书采用 ECC DV，国密算法证书采用由零信 CA 签发的SM2 OV。零信 SM2 OV 证书不仅成本较低，而且能够实现与 DV 证书同样的自动化签发流程。这种组合兼顾了算法支持、组织身份验证和成本控制，有助于降低网关整体拥有成本（TCO）。
网关默认采用 ECC（椭圆曲线密码）算法 SSL 证书，主要是因为 ECC 能够以更短的密钥长度提供与 RSA 相当的安全强度，同时具有性能和资源消耗方面的优势。
例如，256 位 ECC 密钥具有与 3072 位 RSA 密钥大致相当的安全强度。更短的密钥和签名数据可以减少 TLS 握手过程中的数据传输量，降低带宽占用；ECC 在现代 TLS 实现中通常也具有较高的运算效率。因此，采用 ECC 算法有助于降低服务器的计算负担、节省网络带宽和机房电力消耗，同时也有助于减少用户移动设备在 HTTPS 通信过程中的电量消耗。
RSA 算法仍然具有广泛的兼容性，用户也可以根据实际应用需求选择 RSA 证书。
ACME 订阅服务包括免费版、专业版和增强版收费服务。专业版或增强版等相应收费服务包含 5 年单个网站双算法 SSL 证书费用。具体服务权益和适用范围应以对应订阅页面及购买配置为准。
网关部署在 Web 服务器与互联网访问者之间，位于公众访问流量进入现有网站和业务系统的网络路径上。互联网和网络客户端访问网关，由网关处理相关 HTTPS 功能，再将流量转发至现有网站和业务系统。
不需要。原 Web 服务器零改造，无需在源 Web 服务器安装 ACME 客户端。网关将面向公众访问者的 HTTPS 加密与网站系统分开，集中处理相关加解密和流量转发工作。实际网络接入、转发及源站连接配置仍需结合现有网络拓扑和部署策略确定。
网关承担 SSL 证书自动化、SSL 卸载、支持 RSA/ECC/SM2/PQC 密码算法、多 CA 证书供应和切换、WAF 防护（流量清洗）以及流量转发等功能。具体能力取决于网关型号和配置。
HTTPS 卸载是由网关集中处理面向访问者的 HTTPS 加密和解密，而不是让每台源 Web 服务器重复承担全部相关处理。网关完成相应处理后，将流量转发至后端网站和业务系统，从而分担源服务器的 HTTPS 加解密负担，让服务器资源更多用于业务系统。
证书私钥在网关硬件内生成和保护，私钥不经人工处理、不出网关。这种集中管理方式旨在减少手动处理和部署证书时可能产生的私钥泄露风险。
传统通配符证书可以覆盖符合条件的子域名，但证书部署、私钥管理、更新流程和 HTTPS 流量处理仍取决于具体服务器数量及运维架构。传统人工部署方式通常需要人工申请、下载和配置证书，并安排续期更新；网关则自动申请和部署、自动更新，并集中管理私钥及处理 HTTPS 卸载与转发。该比较针对常见人工部署方式，不代表所有通配符证书方案都无法自动化，实际效果取决于证书管理方式、服务器环境和网关配置。
不会。网关集中承担 HTTPS 加解密、SSL 证书自动化管理和流量转发，减轻后端业务系统及相关网络安全设备重复进行 SSL 密码运算和证书管理的负担。它可以与现有防火墙、IPS、WAF、抗 DDoS 系统和负载均衡器协同工作，让各设备专注于各自的安全或流量管理职责。对于已经部署 WAF 的组织，网关是补充而不是替代。
支持 RSA、ECC、SM2 等传统公钥密码算法，并支持SM2MLKEM768、X25519MLKEM768 等混合后量子密码算法。具体算法能力取决于所选服务、网关型号和配置，以及客户端和协议的支持情况。
混合后量子密码方案将传统密码机制与后量子密码机制结合。国际上常用的是X25519MLKEM768， 将X25519 与 ML-KEM-768 结合，而由零信技术和铜锁SSL联合推动的SM2MLKEM768是将基于 SM2 的椭圆曲线机制与 ML-KEM-768 结合，用于相应的 TLS 混合密钥交换。混合密钥交换不等同于后量子数字签名算法，也不代表RSA/SM2 证书本身就是后量子签名证书。
网关支持 RSA/ECC/SM2 等算法，可在网络边界集中处理面向公众访问者的 HTTPS 连接。对于需要国密 HTTPS、但不希望逐台升级现有 Web 服务器的组织，可以通过网关部署相应的国密 HTTPS 能力。实际使用取决于客户端、网关配置和连接协商条件。
网关支持SM2MLKEM768、X25519MLKEM768 等混合 PQC 算法，可在支持的客户端和配置条件下处理相应的 HTTPS 连接。这样，企业可以在网络边界引入受支持的混合后量子密钥交换能力，而不必仅为此逐一改造所有源Web服务器。实际协商结果取决于客户端能力、TLS 配置和网关设置。
不是。网关支持双混合 PQC 算法，并不意味着每一条 HTTPS 连接都会自动使用 PQC。是否采用相应算法取决于访问端浏览器或软件是否支持、TLS 协议和算法协商条件，以及网关实际启用的配置。
由网关承担面向公众访问者的 HTTPS 卸载和处理，客户端与网关之间的 TLS 连接可以使用网关支持的混合PQC算法，而不要求源站本身支持PQC算法。但这不意味着整个端到端环境的所有连接、内部协议和其他密码操作都自动具备抗量子保护，这些部分仍需单独评估。
网关内置 WAF 防护（流量清洗）能力。HTTPS 流量经网关处理后，可根据相应配置对 Web 请求进行检查和防护。WAF 主要承担 Web 应用层请求检查与常见应用层攻击防护，HTTPS 则负责保护传输中的数据，两者承担不同的安全职责。具体 WAF 能力以网关型号和配置为准。
对于已经部署 WAF 的组织，网关可以承担证书自动化管理与 HTTPS 卸载，再将解密后的流量交给现有 WAF 检查。网关是现有 WAF 的补充，而不是替代，目的是保护已有安全投资并减少重复的 HTTPS 处理与证书运维工作。
网关集中处理 SSL 加密和解密、证书生命周期管理以及流量转发。它可以与防火墙、IPS、WAF、抗 DDoS 系统和负载均衡器协同，让各设备专注于主要的安全或流量管理职责，减少重复密码处理并简化运维，特别是无需升级支持证书自动化管理。具体部署方式应结合现有网络拓扑设计。
型号包括 MG-1、MG-8、MG-9、MG-10、MG-11和 MG-13。不同型号采用不同硬件平台，适用流量规模和网站数量上限也不同。
应结合网站数量、访问流量、业务规模、网络拓扑和所需密码支持功能选择。参考配置为：MG-1最多20个网站；MG-8最多255个网站；MG-9最多100个网站；MG-10最多200个网站；MG-11最多255个网站；MG-13最多255网站。实际选型还应结合具体业务流量和功能配置评估。
网关尤其适合需要证书自动化、国密合规或后量子密码能力，同时希望保留现有 Web 系统投入、避免改造原 Web 服务器的组织。典型场景包括关键业务基础设施、政府与公共服务、银行与金融服务、大型企业、医疗和教育等。
可以。网关集中承担面向公众访问者的 HTTPS 加解密、证书生命周期管理和流量转发，可分担源 Web 服务器的 HTTPS 处理工作，也能减少相关网络安全设备重复进行 SSL 密码运算和证书管理的负担。实际效果取决于流量规模、设备配置和网络部署方式。
