本指南将比较 PositiveSSL Wildcard 与 EssentialSSL Wildcard，以及它们的单域名版本 PositiveSSL 与 EssentialSSL。这四款证书均为 Sectigo（前身为 Comodo CA）颁发的域名验证（DV）SSL/TLS 证书。这也是为什么有些商店仍将这些通配符证书列为 Comodo PositiveSSL Wildcard 和 Comodo EssentialSSL Wildcard，另一些则写作 Positive SSL 和 Essential SSL。
简短回答：对大多数网站而言，选择 PositiveSSL Wildcard（通配符证书），若只需单一域名则选择 PositiveSSL。它在 SSL Dragon 的售价更低，附带 Sectigo 公布的 50,000 美元保险赔付额度，且加密强度和浏览器信任度与 EssentialSSL Wildcard 相同。只有当客户、合同或规格明确要求使用 EssentialSSL Wildcard 这一名称时，选择它才有意义。
PositiveSSL Wildcard 与 EssentialSSL Wildcard 一览
下表展示了这四款证书之间的差异。
| PositiveSSL Wildcard (DV) | EssentialSSL Wildcard | PositiveSSL (DV) | EssentialSSL | |
|---|---|---|---|---|
| 总保险赔付额度 | 50,000 美元 | 10,000 美元（SSL Dragon 列出的数值） | 50,000 美元 | 10,000 美元（SSL Dragon 列出的数值） |
| 单笔交易保险赔付额度 | 5,000 美元 | 未确认 | 5,000 美元 | 未确认 |
| SSL Dragon 价格，1 年 | 69 美元 | 81 美元 | 9 美元 | 20 美元 |
| SSL Dragon 价格，3 年方案 | 169 美元（每年 56.33 美元） | 206 美元（每年 68.66 美元） | 23 美元（每年 7.66 美元） | 50 美元（每年 16.66 美元） |
下表展示了它们的共同点。
| 通配符证书 | 单域名证书 | |
|---|---|---|
| 颁发机构与验证方式 | Sectigo，域名验证（DV） | 与通配符证书相同 |
| 覆盖范围 | 无限数量的一级子域名，通常还包括基础域名本身 | 一个域名，包含带 www 和不带 www 的形式 |
| 验证方式 | DNS 或电子邮件 | DNS、电子邮件或 HTTP 文件 |
| 证书有效期 | 每张证书最长 199 天，在您的方案期限（1-3 年）内可免费重新颁发 | 与通配符证书相同 |
| 颁发速度 | 完成验证后数分钟内颁发 | 与通配符证书相同 |
| 密钥与加密 | RSA 2048 位或更高，或 ECC；四款证书的加密方式相同 | 与通配符证书相同 |
| 浏览器信任 | 所有主流浏览器（Sectigo 根证书） | 与通配符证书相同 |
| 站点标识（Site Seal） | 可免费添加到您页面的站点标识 | 与通配符证书相同 |
| 服务器授权数 | 无限制 | 与通配符证书相同 |
| SSL Dragon 退款 | 25 天退款政策 | 与通配符证书相同 |
实际差异在哪里
在 SSL Dragon，EssentialSSL Wildcard 一年期价格比 PositiveSSL Wildcard 贵 12 美元，3 年方案则贵 37 美元。这一差价并不能带来更强的加密或更严格的检查；两者的区别在于保险条款和产品线。
保险赔付
PositiveSSL 和 PositiveSSL Wildcard 附带 50,000 美元的依赖方保险赔付额度，单笔交易上限为 5,000 美元，依据 Sectigo 的依赖方协议 v2.6（Relying Party Agreement v2.6）。
该保险赔付对象并非您（网站所有者），而是因 Sectigo 未能尽到合理审查义务而在在线信用卡或银行支付中蒙受损失的访客（个人而非企业）。访客必须在证书有效期内且在得知损失后 30 天内提出索赔。他们还必须在依赖该证书之前已阅读过协议，并且必须先与其银行就该笔交易提出异议。如果某位访客在一笔支付中损失了 8,000 美元，PositiveSSL 的保险赔付最多也只能支付 5,000 美元。续订后，这 50,000 美元的总额度会重新计算。
该保险不涵盖您服务器上发生的黑客攻击或数据泄露。这些限制条件使得实际获赔的可能性很低，因此不要仅因保险赔付而选择某款证书。
产品线
这两条产品线目前的状态有所不同。PositiveSSL 是 Sectigo 自有的经济型品牌。EssentialSSL 则是 Comodo 时代遗留下来的产品线，经销商仍在销售，但 Sectigo 目前的官方文件中已不再列出该产品线。
PositiveSSL 与 EssentialSSL：单域名版本
单域名证书的情况同样遵循这一规律。单域名版本的PositiveSSL和EssentialSSL与各自的通配符版本共享相同的 DV 验证、加密和保险条款。不过，价格差距在比例上更大：EssentialSSL 的价格是 PositiveSSL 的两倍多（见上表）。两者均覆盖一个域名的带 www 和不带 www 形式，也都可以通过 HTTP 文件进行验证。如果您只需要保护主域名，那么无论选择哪款单域名证书，价格都远低于通配符证书。
访客能否看出您购买的是哪一款？
从证书本身是看不出来的。Sectigo 在 2019 年 12 月就停止在 DV 证书中写入诸如 “PositiveSSL” 之类的产品名称（Sectigo 公告），自 2022 年 9 月起，行业规则更是禁止了用于存放该信息的字段（提案 SC47v2）。如今的 DV 证书只会显示您的域名。浏览器对 PositiveSSL Wildcard 和 EssentialSSL Wildcard 的显示方式完全相同，且两者都是由 Sectigo 颁发的。
两条产品线都包含一个可添加到您页面上的免费站点标识。站点标识只是一张图片，并不会改变浏览器对连接的处理方式。因此，认为 EssentialSSL Wildcard 看起来更专业的说法，在证书本身中并无任何依据支持。
两款证书的共同之处
两者都是域名验证证书。Sectigo 只核实您是否控制该域名，而不核实运营该业务的是谁，因此两者都不会显示公司名称。
一张用于 *.example.com 的通配符证书可覆盖 shop.example.com 和 mail.example.com，通常还包括 example.com 本身。但它不覆盖 dev.shop.example.com；这一级别需要另一张证书（参见多级子域名）。
通配符证书无法通过 HTTP 文件进行验证，这一选项已于 2021 年取消。请提前准备好设置 DNS 记录，或向您域名下的类似 admin@ 的地址发送邮件（域名控制验证一文对各种方法均有说明）。
两者的加密方式和密钥选项完全相同。您也可以将任一证书安装在任意数量的服务器上。这固然方便，但这也意味着每台服务器都持有相同的私钥，因此任何一台服务器上的泄露都会使所有服务器暴露在风险中。在您方案有效期内，重新颁发是免费的。
证书有效期的变化趋势
自 2026 年 3 月 12 日起，Sectigo 颁发的证书有效期最长为 199 天（Sectigo 公告）。制定行业规则、由浏览器强制执行的 CA/Browser Forum 还将进一步下调这一上限（提案 SC-081v3）：2027 年 3 月 15 日起降至 100 天，2029 年 3 月 15 日起降至 47 天（证书有效期）。
这使得每一种方案，哪怕是 1 年期方案，实质上都变成了一种订阅：您需要在每张证书到期前安装一张新证书，而这些重新颁发是免费的。
| 方案 | 每次到期重新颁发所需的最少安装次数 |
|---|---|
| 1 年 | 3 |
| 2 年 | 7 |
| 3 年 | 13 |
Sectigo 会在最长 198 天内复用已完成的验证结果，因此大多数情况下在重新颁发时您仍需再次验证该域名。电子邮件验证将于 2028 年 3 月 15 日终止（提案 SC-090），因此建议您现在就为通配符证书设置好 DNS 验证。实现自动化需要使用 ACME 产品，SSL Dragon 对此单独销售；详情参见 ACME 自动化的工作原理。
您应该选择哪一款？
对大多数网站而言，PositiveSSL Wildcard是更好的选择。它价格更低，并附带 Sectigo 为其自有品牌公布的保险赔付条款。无论选择哪一款，个人网站、博客、作品集网站和小型企业网站获得的加密强度和浏览器信任度都是相同的。
当某些您无法掌控的因素（例如客户规格、合同或采购清单）明确要求使用EssentialSSL Wildcard时，它才有存在的价值。在这种情况下，较高的价格是为了满足这一要求，而非为了获得更好的保护。
单域名的情况也遵循同样的规则，因此除非客户或合同要求使用EssentialSSL，否则应选择PositiveSSL。
如果两者都不适合您
- 多个根域名，每个域名下都有子域名：PositiveSSL 多域名通配符证书
- 希望证书中显示公司名称：OV 通配符证书
- 合同要求更高的保险赔付额度：保险赔付额度更高的 Sectigo 通配符证书
或者您也可以比较一下通配符 SSL 证书和Sectigo SSL 证书。
您会在其他地方看到的说法
一些比较类页面上重复着一些已经过时或本就不准确的说法：
- “PositiveSSL 附带 10,000 美元的保险赔付。” Sectigo 的协议中列明的数额是 50,000 美元（RPA v2.6）。
- “EssentialSSL 的加密强度更高或验证级别更严格。” 两者都是 DV 证书，密钥选项完全相同（基准要求（Baseline Requirements）第 6.1.5 节）。
- “通配符证书可以通过 HTTP 文件进行验证。” 自 2021 年起已不可行（基准要求中关于域名验证方法的规定）。
- “EssentialSSL 包含 PCI 扫描。” 在 SSL Dragon 并非如此，我们的EssentialSSL Wildcard产品页面中并未包含该项服务。
常见问题
并非如此。两者都是 Sectigo 的 DV 证书，具有相同的验证方式、加密强度和浏览器信任度。PositiveSSL 价格更低，也是 Sectigo 在其公布的保险条款中所使用的品牌名称。只有当客户、合同或规格要求使用 EssentialSSL 这一名称时，它才是更好的选择。
主要就是名称不同而已。EssentialSSL 并没有更高的保险赔付额度或更强的加密强度，两条产品线都包含免费的站点标识。经销商各自自行定价，而 Sectigo 并未公布该产品线的零售价格，因此不同商店之间的价差各不相同。
不会。该保险保障的是您的访客，而非您本人，且仅针对因 Sectigo 错误颁发证书而导致的信用卡或银行损失。您服务器或应用程序中发生的数据泄露不在承保范围内。具体条件详见上文的保险赔付部分。
可以。续订时您可以选择订购任意一款证书。访客所看到的证书内容不会有任何变化。您只需验证域名并安装新证书，步骤与任何一次续订相同。
并没有被淘汰：行业规则依然允许使用通配符证书，尽管其有效期和所有证书一样正在缩短。其加密强度也丝毫没有减弱。真正的额外风险在于通配符证书的使用方式：如果一张通配符证书被部署在多台服务器上，其中任何一台服务器上私钥的泄露都会使所有子域名暴露在风险之中。
