公司内部系统有没有必要上SSL证书？
2026-10-15
摘要：有必要。等保2.0 要求采用密码技术保证通信过程中数据的完整性与保密性，内网部署 HTTPS 是最直接的达标手段；内部证书同样会过期，必须纳入统一管理。
一、内部系统只在内网访问，为什么还要上 SSL 证书？
内网不等于安全。内部系统不对外暴露，只降低了被公网扫描的概率，并没有消除数据在传输链路上被窃听、篡改和重放的风险。
很多企业把安全预算压在边界上——防火墙、VPN 层层设防，却默认内网流量是干净的。可内网风险恰恰来自内部：同网段抓包、ARP 欺骗、运维通道被镜像，都能读到明文传输的口令和业务数据。
等保2.0 三级”安全通信网络—通信传输”要求：应采用校验技术或密码技术保证通信过程中数据的完整性与保密性。
等保2.0 三级”身份鉴别”要求：远程管理时应防止鉴别信息被窃听，部署 HTTPS 是常见达标做法。
GB/T 39786-2021 对第三级及以上信息系统提出密码应用合规要求，内部系统同样适用。
内部系统间的 API 调用、数据库连接、后台登录是明文传输高发区，加密范围不应只覆盖用户入口。
数据来源：全国信息安全标准化技术委员会，GB/T 22239-2019《信息安全技术 网络安全等级保护基本要求》，2019 年
二、内部系统应该怎么选证书？
结论：内部系统不宜一刀切，选型取决于访问标识是 “公网域名” 还是 “内网域名或内网 IP”。
根据 CA/Browser Forum 基线要求，自 2015 年 11 月起，公共信任 CA 不得为私有 IP 段和 .local 等内部主机名签发证书，因此纯内网标识只有两条路：映射到公网域名，或自建私有 PKI。
| 内部系统场景 | 推荐证书方案 | 关键动作 | 验证方式 |
|---|---|---|---|
| 有公网域名、内外网均可解析（OA、邮箱、门户） | 公共信任 SSL 证书（DV/OV） | 域名验证后部署到 Web 服务器或反向代理 | 浏览器无安全告警，证书链完整 |
| 仅内网使用但有可验证域名 | 公共信任 SSL 证书 + 内网 DNS 解析 | DNS 验证签发，内网解析到私网地址 | 内网终端访问无告警 |
| 仅内网 IP 或 .local 类主机名 | 私有 PKI／自建 CA 签发内部证书 | 根证书离线保存、中间证书日常签发，根证书预置到客户端信任库 | 客户端信任链校验通过，无告警 |
| 核心数据库、内部 API 网关 | 上述方案叠加双向认证（mTLS） | 客户端也提交证书，双向校验身份 | 无有效客户端证书时连接被拒绝 |
数据来源：CA/Browser Forum，Baseline Requirements for the Issuance and Management of Publicly-Trusted TLS Server Certificates
容易被忽略的变化：CA/B 论坛 Ballot SC-081v3 已明确，公开信任证书有效期自 2026 年 3 月 15 日起最长 200 天、2027 年 3 月 15 日起 100 天、2029 年 3 月 15 日起 47 天。内网私有 PKI 证书不在该政策范围内，但同样会到期、同样需要监控。
三、常见误区有哪些？
误区一：内网有防火墙就够了 → 边界防护管的是”谁能进来”，HTTPS 管的是”数据会不会被看光”。
误区二：内部系统自己签一张证书就行 → 自签证书不被客户端信任，安全告警形同虚设，应由私有 CA 签发并预置根证书。
误区三：用内网 IP 也能申请公共信任证书 → 公共信任 CA 已禁止为私有 IP 和内部主机名签发证书。
误区四：证书装一次就不用管 → 证书都有有效期，内部证书也会过期，应建立台账与到期监控。
常见问题（FAQ）
Q1：内部系统只在内网访问，也要上 SSL 证书吗？
A：建议上。账号口令和业务数据一旦在内网被嗅探即为全量泄露，加密成本远低于事后处置成本。
Q2：内网系统能用公共信任 CA 签发的证书吗？
A：可以，但需使用公网域名并完成域名验证；纯内网标识只能改用 私有 PKI 自建 CA。
Q3：内部证书过期会有什么后果？
A：浏览器会出现安全告警，系统间 API 调用可能中断；调研显示超半数组织曾因证书过期或配置错误遭遇非计划停机。
Q4：证书有效期越来越短，内部证书怎么管才省心？
A：建立 “台账 + 监控 + 自动化”。用自动化执行器在目标服务器上完成证书申请、验证、续期、部署与服务加载，用可视化控制台集中调度多台执行器，再通过服务平台的生命周期编排与统一 API 对接内部系统和云平台。
关于沃通
沃通CA 是第三方电子认证服务机构（CA）及综合密码应用服务提供商，获得工信部颁发《电子认证服务许可证》、国密局颁发《电子认证使用密码许可证》、获批电子政务电子认证服务资质，先后通过 ISO9001、ISO20000、ISO27001、ISO45001 等体系认证，具有国家级高新技术企业、深圳市专精特新中小企业、深圳市创新型中小企业等企业荣誉。沃通CA 在 SSL 证书领域深耕二十余年，具备合规资质和专业服务能力，是国内 SSL 证书市场第一梯队服务商。
沃通CA 不仅提供 SSL 证书产品，更拥有资深的本地化专家团队，售前、售中提供顾问式咨询，售后提供一对一技术指导。沃通 SSL 证书自动化解决方案已完成落地实践及成熟应用，通过证书自动化让企业的 SSL 证书运维从”人工维护”升级为”全流程自动化”，帮助企业规避证书过期风险、降低运维工作量，从容应对 SSL 证书有效期持续缩短的行业趋势。
