政府网站能不能用DV通配符SSL证书？

政务网站作为面向公众提供政务服务、信息发布和在线办事的重要窗口，其安全性和公信力有着严格的要求。在SSL证书的选型上，很多政务单位面临一个实际问题：能不能用DV通配符证书来兼顾成本与覆盖范围？答案是技术上可以部署，但从合规和专业角度而言，强烈不建议。下面从技术要求、合规标准和实际风险层面具体分析。

01

DV证书的验证级别不满足政务网站要求

DV（域名验证型）证书是SSL证书中验证级别最低的一类，仅需验证域名所有权，不涉及任何企业或组织身份的审核。证书详情中不显示任何单位名称，用户无法通过证书确认该网站究竟归属于哪个政务部门。

对于政务网站而言，身份公示是建立公信力的基本要求。公众访问政务网站时，需要明确确认“这是某某市政务的官方网站”而不是一个高仿的钓鱼页面。DV证书无法提供这种身份可追溯性。

相比之下，OV（组织验证型）证书在验证域名所有权的同时，会严格审核申请单位的营业执照、组织机构代码、法人信息等企业资质，证书详情中会清晰显示政务单位的全称。EV（扩展验证型）证书的审核更为严格，需经过额外的法律验证。

02

相关技术标准对政务网站证书的要求

国务院办公厅《政府网站发展指引》要求政府网站落实网络安全等级保护制度，而等保2.0在“安全通信网络”层面明确要求“采用密码技术保证通信过程中数据的保密性和完整性”。这里的“密码技术”通常被认为应采用国家密码管理局认可的商用密码产品，DV证书普遍采用RSA算法，不涉及国密，在严格的合规审查中可能无法被完全认可。

国务院办公厅《政府网站发展指引》（国办发〔2017〕47号）

《国务院办公厅关于加强政府网站域名管理的通知》虽然未直接规定SSL证书类型，但要求政府网站域名管理和网站标识的规范性，OV/EV证书中的单位身份信息正是这种规范性的重要体现。

《国务院办公厅关于加强政府网站域名管理的通知》（国办函〔2018〕55号）

GB/T 22239-2019等保2.0对三级系统（政府网站通常定级为等保二级或三级）要求对全部通信数据进行加密保护，并应使用密码技术保证通信过程中数据的保密性和完整性。在实际测评中，测评机构通常会检查SSL证书是否由权威CA签发、是否有效、是否包含单位身份信息等，DV证书因缺少身份信息可能被扣分。

GB/T 22239-2019《信息安全技术 网络安全等级保护基本要求》

03

通配符证书在政务网站中的适用性问题

通配符证书（*.gov.cn）可以保护主域名下所有一级子域名，确实方便管理。但政务网站通常由多个部门、多个业务系统组成，使用一张通配符证书覆盖所有子域名，一旦私钥泄露，所有子站点全部面临风险。相比之下，为不同业务系统分别申请独立证书或使用多域名证书，可以缩小单点故障的影响范围。

此外，政务网站通常涉及信息公开、办事服务、数据填报等不同功能，不同子站点的安全等级和用户群体不同，统一使用通配符证书难以实现差异化的安全策略。

04

给政务网站的证书选型建议

根据合规要求、安全需求和实际管理情况，建议按以下优先级选择：

第一优先级：国密OV/EV单域名或多域名证书

采用SM2国密算法，满足《密码法》和等保2.0合规要求，证书中显示政府单位全称，适用于各层级政务门户网站。

第二优先级：国际品牌OV/EV证书

如DigiCert、Sectigo等国际品牌的OV/EV证书，验证严格、兼容性好，证书中显示单位名称，适用于有国际访问需求的政务平台。

不建议选择：DV证书（含DV通配符）

仅验证域名，不验证单位身份，不符合政务网站身份公示和等保合规的深层要求。

05

数安时代能提供的支持

数安时代（GDCA）是权威CA机构，拥有WebTrust国际认证及国家密码管理局《电子认证服务使用密码许可证》等完备资质，可提供国密SM2算法证书和国际品牌SSL证书，覆盖OV、EV级别及单域名、多域名等多种类型，满足政务网站从合规到兼容的多样化需求。同时提供“SM2/RSA双证书”部署方案，兼顾国内合规与全球访问。

政务网站技术上可以使用DV通配符证书，但从合规角度和公信力角度强烈不建议。政务网站作为公共服务窗口，必须优先选择能够公示单位身份、支持国密算法、满足等保合规要求的OV/EV级别证书，其中OV/EV单域名或多域名证书是更规范、更安全的选择。通配符证书虽便于管理，但安全风险分散难度较大，需审慎评估。

如需政务网站SSL证书合规选型建议，欢迎联系数安时代获取专业咨询。