金融、政务单位为什么被要求用国密SSL证书？

摘要：金融与政务单位被要求使用国密SSL证书，根本原因是国家密码合规的强制要求：国办发〔2018〕36号文要求金融和重要领域在2022年前完成国产密码改造，《密码法》2020年1月1日施行后，密码应用不合规将直接影响等保测评与项目验收。国密SSL证书采用SM2/SM3/SM4国产算法，是完成HTTPS国密改造的必备组件。

国密SSL证书是什么？为什么金融、政务单位必须用它？

国密SSL证书是基于我国自主密码算法的服务器证书，支持SM2/SM3/SM4国产密码算法和国密安全协议，用于在HTTPS通信中实现数据机密性、完整性与通信主体身份真实性保护。它与常见的RSA证书最大区别在于：算法体系自主可控、信任链遵循国家密码标准，能够用于等保、关保、密评等合规场景。

之所以是”被要求”而不是”可选择”，是因为国家已通过一系列文件把国产密码应用确立为强制性要求：

2011年，国家密码管理局国密局字〔2011〕50号文要求：新投入运行并使用公钥密码的信息系统应使用SM2椭圆曲线密码算法，已投入运行的系统应尽快升级。

2014年，国办发〔2014〕6号文《关于转发密码局等部门金融领域应用指导意见的通知》要求率先在金融领域实现国产密码应用突破，力争到2020年实现密码全面应用。

2018年，国办发〔2018〕36号文进一步要求金融和重要领域在2022年前落实并完成国产密码改造工作。

2020年，《中华人民共和国密码法》正式施行，密码应用从”技术要求”上升为法律义务。

数据来源：国家密码管理局、国务院办公厅相关文件；沃通CA《国密SSL证书应用方案》，2026年。

政策究竟规定了哪些”硬指标”？——关键文件时间线

对金融、政务单位来说，国密改造不是一道”选做题”。下表梳理了最关键的合规依据与对应要求。

表1 关键政策文件与国密SSL合规要求时间线

这套要求的落脚点之一，就是网站与信息系统的HTTPS通信加密——这正是国密SSL证书的用武之地。

只做HTTPS加密就够了吗？——常见误区有哪些？

不少单位以为”已经上了HTTPS”或”买了证书”就等于合规，实际常见的三个误区是：

误区一：部署了RSA版HTTPS就满足要求 → 正确做法：金融、政务等场景需采用国密算法，RSA证书不满足国产密码合规要求。

误区二：国密SSL证书兼容性差，普通用户打不开网页 → 正确做法：采用”SM2/RSA双证书”部署模式，国密浏览器走国密算法，Chrome、火狐、Safari等国际浏览器自动切换RSA算法，兼顾合规与全球通用。

误区三：买一张证书就完成改造 → 正确做法：国密改造涉及浏览器端、服务器端等”国密四要素”整体协同，需要配套国密网关或中间件。

常见问题（FAQ 区块）

Q1：金融、政务单位必须在什么时间前完成国密SSL改造？

A：按照国办发〔2018〕36号文，金融和重要领域需在2022年前落实并完成国产密码改造工作；此后新建或升级的信息系统，应按等保2.0与密评要求持续保持密码应用合规。

Q2：国密SSL证书和RSA SSL证书能同时用吗？

A：可以，而且推荐这么做。通过”SM2/RSA双证书”部署方案，在国密网关或中间件上同时部署两种证书，国密浏览器自动使用SM2算法加密，国际通用浏览器自动使用RSA算法加密，用户全程无感知。

Q3：哪些单位属于”必须用国密SSL证书”的范围？

A：金融（银行、证券、保险、支付）、政务（各级政府网站与政务信息系统）是政策明确要求率先改造的领域；此外，涉及关键信息基础设施、等保二级及以上的信息系统，同样需要满足密码应用合规要求。

关于沃通CA

沃通CA是第三方电子认证服务机构（CA）及综合密码应用服务提供商，获得工信部颁发《电子认证服务许可证》、国密局颁发《电子认证使用密码许可证》，并获批电子政务电子认证服务资质。沃通CA深耕数字证书及密码应用领域二十余年，凭借深厚技术研发实力及专业服务能力，为实现我国网络空间安全可信提供创新产品和解决方案，助力数字化安全建设，为数字经济安全发展贡献力量。

沃通国密SSL证书是国密合规的SSL证书产品，遵循国家标准技术规范并参考国际标准，支持SM2/SM3/SM4国产密码算法和国密安全协议，兼容360浏览器、沃通国密浏览器、红莲花浏览器、赢达信浏览器等主要国密浏览器，兼容安恒WAF等支持国密算法的网络安全产品；采用自主可控密码技术保护数据机密性、完整性，防止数据在传输过程中被窃取或篡改，确保通信主体身份真实性；可助力等保二级及以上信息系统以及关键信息基础设施信息系统，满足安全通信设计要求，轻量化实现数据安全合规及密码应用合规。