选择代码签名证书提供商比想象中要难。四家受公众信任的证书颁发机构几乎涵盖了所有合理的购买场景：Sectigo、Comodo、DigiCert 和 GoGetSSL。乍一看，它们似乎大同小异。它们颁发相同的 X.509 证书，遵循相同的 CA/Browser Forum 规则，并提供符合相同 FIPS 标准的硬件令牌。那么，为什么一家 CA 的入门级产品价格大约是另一家的一半？
差异是真实存在的，但并不总是如营销文案所声称的那样。本文将对 SSL Dragon 所代理的四家 CA 按购买时真正重要的因素进行排名：起始价格、硬件灵活性、验证范围、签发速度和生态系统信任度。我们将告诉您针对不同需求应选择哪家，以及哪些价格差距值得付出。
已经知道您想要什么？ 查看 SSL Dragon 完整的代码签名证书产品线及当前定价 →
我们的排名标准
“最佳提供商”榜单的价值取决于其评判标准。我们对五个因素进行了加权评估：
- 起始价格（20%）。每家 CA 最便宜的受公众信任 SKU 售价是多少？OV 和 EV 分开评分，因为它们是面向不同买家的不同产品。
- 硬件灵活性（20%）。买家可通过三种方式获取证书：CA 提供的 USB 令牌、自备符合 FIPS 标准的 HSM，或 CA 托管的云端签名服务。并非每家 CA 都提供全部三种方式。重度依赖 CI/CD 的团队非常关注云端签名；小型开发者通常不在意。
- 验证范围（15%）。部分 CA 向经过验证的个人颁发 OV 等效证书（有时标注为个人验证，即 IV），这对没有注册公司的独立开发者而言至关重要。其他 CA 则仅向组织颁发证书。
- 签发速度（15%）。大多数代码签名证书的签发时间为 1 至 7 个工作日。EV 的签发速度始终慢于 OV，因为审核更为严格。生产截止日期会将这一因素从锦上添花变成成败关键。
- 生态系统信任度（30%）。这是最难量化却对采购驱动型买家最为重要的因素。部分企业合同和合规框架会明确指定 DigiCert。Microsoft 的 WHQL 门户、Apple 的公证流程以及大多数 CI 工具对四家 CA 的接受程度相同，但合同和审计并不总是如此。
我们不对保修金额、”支持质量”或”信任印章”功能进行排名。代码签名证书的保修金额在很大程度上只是形式，支持服务总体相当，也不再有绿色地址栏功能可供触发。上述五个因素才是真正影响购买决策的关键。
快速对比：四家提供商一览
| 提供商 | OV 起始价 | EV 起始价 | 硬件选项 | 最适合 |
|---|---|---|---|---|
| Sectigo / Comodo | 从 $219/年起 | 从 $287/年起 | USB 令牌、自备 HSM、云端 | 大多数买家，尤其是注重价格的 OV 用户 |
| GoGetSSL | 从 $289/年起 | 从 $369/年起 | USB 令牌、自备 HSM | 性价比 EV |
| DigiCert | 从 $400/年起 | 从 $685/年起 | USB 令牌、自备 HSM、KeyLocker 云端 | 企业、采购指定、CI/CD |
Sectigo / Comodo 在入门级并列第一。GoGetSSL 居中。DigiCert 是高端之选。
Sectigo（Comodo）— 适合大多数买家的最佳综合选择
Sectigo 是最稳妥的默认选择。它在 OV 和 EV 两个层级均并列为最便宜的受公众信任代码签名证书，可向组织和个人颁发证书，并为希望采用无 HSM 工作流的团队提供云端签名服务。几乎没有任何购买场景会让 Sectigo 成为错误选择，这也是为什么它是本文大多数读者的首选推荐。
Comodo 与 Sectigo 实为同一产品。Comodo 的证书业务于 2018 年更名为 Sectigo，两者共享底层 CA 基础设施。SSL Dragon 同时代理两者，是因为部分买家因多年的品牌认知而熟悉 Comodo 这个名字，并倾向于继续购买。使用 Comodo 证书签名的 Windows 安装程序与使用 Sectigo 证书签名的验证方式完全相同。SmartScreen 信誉对两者的积累方式也相同。硬件令牌来自同一个符合 FIPS 标准的资源池。如果您是首次购买，请选择 Sectigo 以使用更新的品牌名称；如果您的团队有历史采购记录、供应商名单或内部文件中引用了 Comodo，沿用熟悉的名称也完全没问题。
无论如何，OV 层级是这家 CA 赢得综合排名的关键所在。以入门价格，您可以获得与其他所有 CA 相同的 FIPS 140-2 Level 2 硬件令牌、相同的 1 至 7 天签发窗口，以及相同的 Microsoft Authenticode 兼容性。如果您唯一的需求是”为 Windows 安装程序签名，让用户不再看到’未知发布者’警告”，则没有任何技术理由支付更高的价格。
EV 层级同样并列为最便宜的受公众信任 EV。如果您需要签署 Windows 内核模式驱动程序（这是 EV 强制要求的唯一签名场景），且没有采购合同将您绑定到 DigiCert，那么 Sectigo 或 Comodo EV 是明智之选。
优点
- 市场上受公众信任的 OV 和 EV 中并列最低价
- 可向组织和经验证的个人颁发证书
- 提供 Sectigo 云端签名服务，适用于无 HSM 的 CI/CD 流水线
- 成熟的 CA，根证书已被所有现代操作系统和浏览器认可
缺点
- 在企业采购中的品牌认知度低于 DigiCert
- 多年期证书需要自备 HSM（CA 提供的令牌仅限 1 年）
- Comodo 本身没有专有云端签名服务（Sectigo 有）
结论：如果您希望以最低价格获得任一层级的受公众信任证书，且没有指定特定品牌的采购要求，请选择此 CA。选择 Sectigo Code Signing（或 Sectigo EV Code Signing）以使用更新的品牌，或选择 Comodo Code Signing（或 Comodo EV Code Signing）如果您的买家期望使用传统品牌名称。
DigiCert — 采购指定买家的高端之选
DigiCert 的 OV 价格约为 Sectigo OV 的 1.8 倍。EV 的差距更大：DigiCert EV 的价格约为 Sectigo EV 的 2.4 倍。这些都是真实存在的差距，值得认真解释。
DigiCert 在两种情况下是正确选择，在大多数其他情况下则并非如此。
第一，采购强制要求。相当一部分企业软件合同、政府供应商要求和合规框架明确将 DigiCert 列为经批准的证书颁发机构。如果您的采购团队或客户的采购团队有一份名单，而 DigiCert 在其中，那么价格差距就没有商量余地。您购买的不是证书，而是在满足合同要求。
第二，重度 CI/CD 工作流。DigiCert KeyLocker 是一项云端 HSM 签名服务，让您的构建流水线无需插入物理 USB 令牌即可对二进制文件进行签名。Sectigo 也提供云端签名，但 DigiCert 在 CI/CD 集成方面的工具和文档更为成熟。如果您的发布流程每周需要在分布式团队中对数百个二进制文件进行签名，KeyLocker 相比在开发者之间传递 USB 令牌能带来真正的效率提升。
除这两种场景外，DigiCert 对于您实际获得的内容而言定价偏高。证书本身并不更安全，加密强度也没有更高，SmartScreen 的行为与 Sectigo 完全相同。您支付的是品牌溢价和云端工具的费用。
优点
- 在企业和政府采购中品牌认知度最强
- KeyLocker 云端 HSM 签名服务成熟，对 CI/CD 友好
- DigiCert 的时间戳服务（tsa.digicert.com）被广泛使用且支持良好
缺点
- OV 价格约为 Sectigo 和 Comodo 的 1.8 倍，EV 价格约为 2.4 倍
- 对于没有特定采购要求的买家，没有价格优势
- 对独立开发者和小型软件企业而言过于高端
结论：如果合同指定了该 CA，或者您的 CI/CD 流水线确实能从 KeyLocker 中受益，请选择 DigiCert Code Signing。否则，更便宜的 CA 能完成同样的工作。EV 选项请访问 DigiCert EV Code Signing 页面。
GoGetSSL — EV 的性价比之选
GoGetSSL 是介于两者之间的选项，EV 层级是它跻身本榜单的原因。在 OV 层级，GoGetSSL 的定价高于 Sectigo 和 Comodo，因此没有明显理由选择它来进行低价签名。但在 EV 层级，GoGetSSL 以大幅低于 DigiCert 的价格，同时高于 Sectigo/Comodo 的底价，占据了一个有用的中间地带。
对于想要 DigiCert 以外 CA 的 EV 买家，但又觉得 Sectigo 和 Comodo 在内部定位上过于入门级，GoGetSSL 就是答案。其验证流程与其他三家 CA 相同，证书签署的文件类型相同，硬件交付选项也相当。
OV 层级存在且可用，但以其起始价格，您可以购买 Sectigo 或 Comodo OV，以更低的价格获得相同的产品。除非有特定理由偏好该品牌，否则我们不推荐 GoGetSSL OV。
优点
- EV 定价具有性价比（远低于 DigiCert）
- 与 Microsoft、Apple 和 Android 签名流程顺畅集成
- 成熟的拉脱维亚 CA，根证书已获认可
缺点
- OV 层级比 Sectigo 和 Comodo 更贵，但功能上没有差异
- 没有专有云端签名服务（仅支持 USB 令牌或自备 HSM）
- 在美国企业采购中品牌影响力较小
结论：如果您需要 EV 但 DigiCert 价格过高，且 Sectigo/Comodo 不符合您的购买偏好，请选择 GoGetSSL Code Signing EV SSL。OV 选项请访问 GoGetSSL Code Signing SSL 页面。
按使用场景推荐最佳选择
“最佳提供商”完全取决于您签署的内容和购买者身份。以下是选择指南：
独立或个人开发者
推荐：Sectigo OV（个人验证）或 Comodo OV。两家 CA 均以最低价格向无注册公司的经验证个人颁发 OV 等效证书。Sectigo 作为品牌略显新颖；如果您偏好传统名称，则选择 Comodo。两者均可以最低成本获得受公众信任的签名。
中小型软件企业
推荐：Sectigo OV 或 Comodo OV。与独立开发者的推荐相同，但您将通过组织验证而非个人验证。除非您签署驱动程序或有特定原因，否则无需为 EV 付费。OV 可以很好地签署 Windows 安装程序、脚本、Java 应用程序以及大多数其他文件类型。
签署 Windows 内核模式驱动程序
推荐：Sectigo EV 或 Comodo EV。任何 EV 证书均符合内核模式驱动程序签名资格，因此最便宜的受公众信任 EV 是明智之选。如果您想进行比较，请访问分类页面上的 EV 选项。DigiCert EV 同样符合资格，但价格是 Sectigo 的 2.4 倍，而资格相同。
重度 CI/CD 团队或分布式签名工作流
推荐：DigiCert OV 或 EV 配合 KeyLocker。这是 DigiCert 高端定价真正物有所值的唯一场景。KeyLocker 消除了开发者之间物理传递 USB 令牌的需求，并与构建流水线无缝集成。如果预算有限，Sectigo 云端签名也是一个替代方案。
采购强制指定 DigiCert
推荐：DigiCert。如果您的合同指定了该 CA，您别无选择。按合同规定的层级购买即可。
最终结论与购买渠道
大多数买家应在入门级选择 Sectigo 或 Comodo。它们在功能上是来自同一 CA 基础设施的相同证书，在受公众信任的 OV 和 EV 中并列最低价，且可向组织和个人颁发证书。Sectigo 是更新的品牌；Comodo 是部分买家仍然偏好的传统名称。DigiCert 的溢价仅在采购合同指定或 KeyLocker 能切实改善构建流程时才值得支付。GoGetSSL 是当您需要 EV 但不想选 DigiCert，同时又希望比入门级更进一步时的答案。
SSL Dragon 代码签名产品线涵盖全部四家 CA，代码签名分类页面提供实时定价、硬件交付详情、OV 与 EV 对比、新的 460 天有效期规则以及常见问题解答。请从那里开始实际购买。当有人问您该选哪个时，再回来参考本文。
