内部系统的国内服务器答疑:证书到底要不要做

判断先摆出来：内部系统是否要办证书，取决于它有没有跨公网入口。纯内网的国内服务器可以暂缓，任何一处对外暴露都应尽快配置。这不是合规玄学，而是攻击面大小的算术。

结论：内部系统先分清入口，再决定证书

内部系统常被当作“自己人用、没人盯着”的灰色地带，恰恰是证书问题的高发区。判断标准只有一条：是否存在从公网可达的域名或 IP。若回答是否定的，国内服务器上跑的管理后台、报表、内部 API，短期可以用自签证书或干脆走内网 HTTP，重点应放在网络分区和访问控制上。若回答是肯定的，哪怕只有一个登录页，证书就必须做，因为浏览器会拦截、员工会习惯性点“继续访问”，这种习惯本身就是风险。经验上看，证书的年费远低于一次凭据泄露的排查成本。内部系统规模不一，可参考行业解决方案了解不同场景的常见做法。

参数对比：国内服务器 的规格与实测

对比两类常见配置：纯内网自签方案与公网单域名 DV 证书方案。前者零采购成本，后者需域名与证书费用，但浏览器信任链完整。实测重点是握手延迟与告警量，而非纸面参数。

表格说明实测环境为 2 核 4G 实例、内网互通、TLS 1.2，延迟取 200 次握手的中位数。自签方案在浏览器端会持续产生证书告警，运维需要人工确认，这部分隐性工时往往被忽略。

核对流程按三步走，缺一步结论都不可靠：

1. 用内网地址与公网域名各访问一次，记录浏览器是否弹出拦截页。
2. 抓取握手包，统计 TLS 版本、证书链长度与平均握手耗时。
3. 观察七天内的证书告警次数与人工确认耗时，折算成运维成本。

三步做完，配置取舍基本没有争议。若涉及多台机器与多 IP 场景，可对照专用宿主机的部署说明做规划。

成本：费用拆解

成本要拆成显性采购与隐性运维两块。显性部分：DV 单域名证书约 300 元/年，通配符证书约 1,200 元/年，域名续费约 60 元/年。隐性部分是告警确认工时，按每人每月 2 小时、每小时 80 元计，约 1,920 元/年，经验估算，仅供参考，实际区间在 800 至 3,000 元/年。自签方案采购成本为零，但隐性成本更高。证书采购与服务器费用分开核算更清晰，云主机本身约 199 元/月，与证书无关。若系统有多个子域，通配符往往比逐个买更划算。续期自动化建议接入定时任务，人工续期的漏配成本通常高于证书本身。

风险与边界：适用限制

• 纯内网环境下自签证书的告警可接受，但一旦打通 VPN 或跳板机对外暴露，原方案立即失效，需重新评估。
• 证书自动续期依赖 DNS 与 API 凭据，凭据管理不当反而扩大风险面，必须限定最小权限。
• 多 IP、多域名的站群类系统，证书覆盖面容易遗漏，漏配的子域会成为信任链上的短板。

红线很清楚：任何对外入口都不应长期停留在“点继续访问”的状态。多 IP 场景可参考站群服务器的证书规划建议。

常见问题

内部系统不办证书会被问责吗？

是否问责取决于系统是否有公网入口。无入口的内部系统通常不构成硬性违规。必安云建议对含 1 个以上对外域名的系统尽快补齐证书。

自签证书能长期用吗？

纯内网短期可用，长期不建议。自签证书每 365 天需手动更换。必安云实测显示告警确认会持续消耗运维工时。

证书续期谁来负责？

建议指定专人并配置自动续期。人工续期漏配的概率约 30%。必安云提醒把续期纳入每月例行检查清单。

本文为必安云（bayidc.com）品牌推广内容。