2026 年获取免费 SSL 证书的途径有很多。但”免费”不代表它们都一样 — 它们在可获取的证书数量、私钥是否真正私密、通配符支持以及你想离开时会怎样等方面存在差异。
这是其他网站不会做的对比：我们分析你的私钥在哪里生成 — 因为如果提供商拥有你的密钥，你的加密从源头就已被破坏。
快速对比：所有提供商一览
| 提供商 | 类型 | 有效期 | 通配符（免费） | 需要账号 | 私钥 | 免费限额 | 自动续签 |
|---|---|---|---|---|---|---|---|
| Let’s Encrypt | 独立证书颁发机构 | 90 天 | ✅ DNS-01 | 否 | ✅ 本地 | 无限制 | 通过 ACME 客户端 |
| ZeroSSL | 独立证书颁发机构 | 90 天 | ❌ 仅付费 | 邮箱 | ⚠️ 视情况而定 | 3 张证书 | 通过 ACME |
| Buypass Go | 独立证书颁发机构 | 180 天 | ❌ | 否 | ✅ 本地 | 无限制 | 通过 ACME |
| Google Trust Services | 独立证书颁发机构 | 90 天 | ✅ DNS-01 | Google Cloud | ✅ 本地 | 无限制 | 通过 ACME |
| Cloudflare | CDN 代理 | 自动 | ✅ | 邮箱 | ❌ Cloudflare 持有 | 无限制 | 自动 |
| SSL For Free | 网页工具 | 90 天 | ❌ | 邮箱 | ⚠️ 服务器端生成 | 3 张证书 | 否 |
| 主机商 | 捆绑服务 | 90+ 天 | 不一定 | 主机账号 | ✅ 在你的服务器上 | 无限制 | 通常自动 |
| AWS ACM | 云服务 | 自动 | ✅ | AWS 账号 | ❌ AWS 持有 | 无限制 | 自动 |
独立证书颁发机构
这些证书颁发机构签发你可以下载并拥有的证书。你可以将它们安装在任何地方 — 任何服务器、任何平台、任何提供商。
Let’s Encrypt — 行业标准
Let’s Encrypt 是由互联网安全研究组（ISRG）运营的非营利证书颁发机构。它以全球 63.9% 的 CA 市场份额和超过 3 亿张活跃证书主导市场。
为什么它是默认选择：
- 真正无限制 — 没有免费层限制，没有加售，没有付费计划
- 通配符证书 — 通过 DNS-01 验证，完全免费
- 庞大的生态系统 — 50+ ACME 客户端：GetHTTPS（浏览器）、Certbot（CLI）、acme.sh（shell）、Caddy（内置）等
- 无需账号 — ACME 账号密钥在本地生成，无需邮箱注册
- 证书透明度 — 所有签发的证书公开记录以确保可追溯性
- 支持者 包括 Mozilla、Google、EFF、Meta、Cisco 等
局限性：
如何获取 Let’s Encrypt 证书：
| 工具 | 类型 | 适用场景 |
|---|---|---|
| GetHTTPS | 浏览器 | 无需安装，密钥留在浏览器中 |
| Certbot | CLI | Linux 服务器自动续签 |
| acme.sh | Shell 脚本 | 无需 Root，150+ DNS 插件 |
| Caddy | Web 服务器 | 零配置 HTTPS |
ZeroSSL — 附带条件的免费层
ZeroSSL 是由 Sectigo 支持的商业证书颁发机构。它在付费计划（$10-100/月）之外提供免费层。
相比 Let’s Encrypt 的优势：
- 证书管理 Web 控制台
- REST API 用于程序化签发
- 邮箱验证（无需服务器访问权限）
- 付费计划提供 1 年有效期证书
注意事项：
- 免费层：仅 3 张证书 — 之后需要付费计划
- 通配符：仅付费 — Let’s Encrypt 免费提供通配符
- 私钥隐患： 使用 Web 控制台时，密钥可能在 ZeroSSL 的服务器上生成，而非在你的浏览器中。使用其 ACME 端点配合本地客户端可确保密钥留在本地。
- 属于 Sectigo — 一家有商业利益的商业证书颁发机构
结论： 如果你只需要管理 1-3 个站点且想要控制台，ZeroSSL 还不错。如果需要更多，Let’s Encrypt 没有限制。详细对比 →
Buypass Go SSL — 更长有效期，更少功能
Buypass 是一家挪威证书颁发机构，提供 180 天有效期的免费 DV 证书 — 是 Let’s Encrypt 的两倍。
优势：
- 180 天有效期 = 更少的续签次数
- 支持 ACME 协议（兼容 Certbot、acme.sh）
- 无需账号
- 欧洲证书颁发机构（对注重 GDPR 的组织有意义）
- 无限量免费证书
局限性：
- 不支持通配符 — 如果需要
*.example.com就不行了 - 社区较小 — 文档更少，经过测试的集成更少
- 知名度较低
适合： 需要更长有效期且不需要通配符的简单站点。
Google Trust Services — Google 自有的证书颁发机构
Google Trust Services 通过 ACME 签发免费 DV 证书，由 Google 基础设施支撑。
优势：
- 通过 DNS-01 支持通配符
- Google 级别的可靠性
- 兼容 ACME（Certbot、acme.sh）
局限性：
- 需要 Google Cloud 账号才能使用 ACME 端点
- 社区文档不如 Let’s Encrypt 丰富
- 90 天有效期
- 依赖 Google Cloud
适合： 已在 Google Cloud 上的团队，希望统一生态系统。
CDN 和云托管 SSL
这些提供商为你管理证书 — 但你并不拥有它们。
Cloudflare — CDN 附带的免费 SSL
Cloudflare 在其免费计划中提供 “Universal SSL”。但这与可下载的证书有本质区别。
Cloudflare SSL 实际工作原理：
访客 ──HTTPS──→ Cloudflare 边缘 ──???──→ 你的源站服务器
(Cloudflare 的证书) (可能未加密！)访客的加密连接在 Cloudflare 终止，而非在你的服务器。Cloudflare 解密流量、处理它（缓存、WAF 等），然后再向你的源站发起单独的连接。
问题所在： 在 “Flexible” 模式下（许多用户的默认设置），Cloudflare 到源站的连接是明文 HTTP。你的访客看到了挂锁图标，但后端流量是未加密的。务必使用 “Full (Strict)” 模式配合源站的真实证书。
你得不到的：
- 可以下载的证书文件
- 你控制的私钥
- 脱离 Cloudflare 仍可使用的证书
- 对 Cloudflare 的隐私保护（他们能看到所有明文流量）
- 用于非 Web 服务（邮件、不在 Cloudflare 后面的 API）
你能得到的：
- 零证书管理工作
- 自动续签
- DDoS 防护、CDN 及其他 Cloudflare 功能
- 通配符覆盖
适合： 已经在使用 Cloudflare 且接受代理模式的站点。如果你需要端到端加密或可移植性，不能替代真实证书。完整对比 →
AWS Certificate Manager (ACM) — 仅限 AWS 服务
ACM 为 AWS 负载均衡器（ALB/NLB）、CloudFront 和 API Gateway 提供免费证书。
关键限制： 你无法下载私钥。ACM 证书仅适用于 AWS 托管服务 — 不能直接用于 EC2 或任何非 AWS 服务器。完整 AWS SSL 指南 →
基于网页的工具（需谨慎）
SSL For Free — 便利但有隐私代价
SSL For Free 曾是获取 Let’s Encrypt 证书的简单网页工具。现已被 ZeroSSL/Sectigo 收购并重定向到 ZeroSSL。
⚠️ 严重隐私问题： SSL For Free 的网页界面会在他们的服务器上生成你的私钥，然后发送给你。这意味着他们能够访问你的私钥 — 而这正是应该保密的东西。如果他们的系统被入侵，他们曾经生成的每一把密钥都可能被泄露。
这是 SSL For Free 和 GetHTTPS 的核心区别：GetHTTPS 使用 Web Crypto API 在你的浏览器中生成密钥。密钥仅存在于浏览器内存中，直到你下载为止。没有任何服务器接触过它。详细对比 →
主机商捆绑 SSL
大多数现代主机商都包含免费 SSL — 通常通过 AutoSSL 或自有集成使用 Let’s Encrypt：
| 主机商 | 免费 SSL | 通配符 | 自动续签 | 如何启用 |
|---|---|---|---|---|
| Hostinger | ✅ Let’s Encrypt | ✅ | ✅ | hPanel → Security → SSL |
| SiteGround | ✅ Let’s Encrypt | ✅ | ✅ | Site Tools → Security → SSL |
| Bluehost | ✅ Let’s Encrypt | ❌ | ✅ | My Sites → Security |
| Namecheap | ✅ AutoSSL | ❌ | ✅ | cPanel → SSL/TLS Status |
| A2 Hosting | ✅ Let’s Encrypt | ✅ | ✅ | cPanel → SSL/TLS |
| DreamHost | ✅ Let’s Encrypt | ✅ | ✅ | Panel → Secure Hosting |
| DigitalOcean | ❌ | — | — | 使用 GetHTTPS 或 Certbot |
| Hetzner | ❌ | — | — | 使用 GetHTTPS 或 Certbot |
| Vultr | ❌ | — | — | 使用 GetHTTPS 或 Certbot |
如果你的主机商包含免费 SSL — 直接使用。这是阻力最小的路径。
如果你的主机商不提供（DigitalOcean、Hetzner、Vultr、Linode 或任何 VPS）— 使用 GetHTTPS 快速获取证书，或使用 Certbot 实现自动续签。
隐私维度：你的私钥在哪里？
这是其他”最佳免费 SSL”文章不会做的对比 — 也是最重要的安全问题：
| 提供商 | 私钥在哪里生成？ | 谁能访问？ | 风险级别 |
|---|---|---|---|
| GetHTTPS | 你的浏览器（Web Crypto API） | 仅你自己 | ✅ 最低 |
| Certbot / acme.sh | 你的服务器（OpenSSL） | 你 + 拥有 Root 权限的人 | ✅ 正常 |
| Let’s Encrypt（任何客户端） | 取决于客户端 — 见上方 | 取决于客户端 | 不一定 |
| ZeroSSL（ACME 客户端） | 你的服务器 | 你 + Root | ✅ 正常 |
| ZeroSSL（Web 控制台） | ZeroSSL 的服务器 | ZeroSSL + 你 | ⚠️ 较高 |
| SSL For Free（网页） | 他们的服务器 | SSLForFree + 你 | ⚠️ 较高 |
| Cloudflare | Cloudflare 基础设施 | Cloudflare | ⚠️ 你没有密钥 |
| AWS ACM | AWS 基础设施 | AWS | ⚠️ 你没有密钥 |
| 主机商 AutoSSL | 你的主机服务器 | 主机商 + 你 | ✅ 正常 |
为什么这很重要： 你的私钥是证书安全的根基。如果其他人拥有它，他们就能冒充你的网站。大多数”免费 SSL 提供商”对比文章完全忽略了这一点。
决策矩阵
| 你的情况 | 推荐 | 原因 |
|---|---|---|
| 大多数网站 | Let’s Encrypt 通过 GetHTTPS | 无限制，最佳隐私，处处可用 |
| 需要自动续签 | Let’s Encrypt 通过 Certbot | 设置一次，永久无忧 |
| 使用 cPanel 的虚拟主机 | 主机商的 AutoSSL | 已经就绪，零操作 |
| 已在使用 Cloudflare | Cloudflare + 从 GetHTTPS 获取源站证书 | CDN 优势 + 真正的源站加密 |
| 已在使用 AWS | ACM 用于 ALB/CloudFront + GetHTTPS 用于 EC2 | ACM 免费且自动续签 |
| 需要更长有效期 | Buypass Go 通过 Certbot | 180 天 vs 90 天 |
| 需要 1-3 张带控制台的快速证书 | ZeroSSL | Web 界面，邮箱验证 |
| 注重隐私 | Let’s Encrypt 通过 GetHTTPS | 密钥从不离开浏览器 |
| Google Cloud 用户 | Google Trust Services | 原生集成 |
我们的推荐
对大多数网站而言：Let’s Encrypt 是明确的赢家。
- 全球 63.9% 市场份额 — 久经验证的默认选择
- 无限制、无加售、无附加条件
- 庞大的工具生态系统
使用 GetHTTPS 作为客户端，如果你需要：
- 零安装（仅需浏览器）
- 私钥在浏览器中本地生成
- 直连 Let’s Encrypt，无中间商
- 提交前预检验证
避免使用在服务器端生成私钥的工具。 如果工具提供商拥有你的密钥，加密从根本上就被破坏了。
常见问题
免费 SSL 证书和付费的一样安全吗？
是的。所有 SSL 证书 — 无论免费或付费 — 使用相同的 TLS 加密。来自 Let’s Encrypt 的免费 DV 证书提供与 $500 EV 证书完全相同的加密强度。区别在于身份验证级别（DV/OV/EV），而非加密本身。完整对比 →
为什么有些提供商将免费证书限制为 3 张？
商业模式。商业证书颁发机构（ZeroSSL/Sectigo）将免费层作为付费计划的营销漏斗。Let’s Encrypt 作为非营利组织，没有限制签发的动机。
Cloudflare SSL 是”真正的”证书吗？
Cloudflare 为你的域名签发真正的证书 — 但它位于 Cloudflare 的服务器上，不在你的服务器上。你的访客获得到 Cloudflare 的加密连接，但 Cloudflare 和你的源站之间的连接是独立的（在 “Flexible” 模式下可能是未加密的）。你不拥有也不控制这张证书。详情 →
2029 年有效期降至 47 天会怎样？
CA/Browser Forum 已投票将最长有效期降至 47 天。这对所有提供商的影响相同。自动续签（Certbot、acme.sh、主机商 AutoSSL）变成了必须项。对于手动流程（GetHTTPS），你需要大约每 30 天续签一次。
我可以同时使用多个提供商吗？
可以。你可以对主站使用 Let’s Encrypt，对 CDN 前置的站点使用 Cloudflare，对 AWS 负载均衡器使用 ACM。来自不同证书颁发机构的证书不会冲突。
哪个免费提供商最适合 WordPress？
你主机商内置的 SSL 最简单。如果主机商不包含，使用 GetHTTPS 获取 Let’s Encrypt 证书并通过 cPanel 安装。完整 WordPress SSL 指南 →
如何切换提供商？
从新提供商生成新证书并替换服务器上的文件。无需迁移，无需与旧提供商协调。证书是独立的 — 替换一张证书就是换文件而已。
Let’s Encrypt 可靠到足以用于生产吗？
是的。Let’s Encrypt 占据 63.9% 的市场份额，由资金充足的非营利组织（ISRG）运营，赞助商包括 Google、Mozilla、Meta 和 Cisco。大型企业、政府机构和数百万生产站点依赖它。它比许多商业证书颁发机构在财务上更稳定。