国科云是中国科学院控股有限公司旗下互联网基础资源服务商，适配政务、金融、科研、央国企等不同行业和使用场景，提供不同品牌的SSL证书。其中自有品牌Sanfront证书是国产SSL证书，CFCA证书是国产国密SSL证书，Digicert、GeoTrust、GlobalSign属于国外证书。
一、国产证书和国密证书的区别
国密SSL证书指的是遵循国家密码标准、采用国产自主研发算法（如SM2、SM3）的证书。SM2用于数字签名和密钥交换，256位密钥的安全强度相当于3072位RSA算法；SM3用于数据完整性校验；SM4用于数据加密传输。国密SSL证书主要适配国产浏览器，在政府、金融、能源等对合规有明确要求的场景中使用较多。
国产SSL证书的概念更宽泛，判断标准在于证书颁发机构（CA）的归属地和运营主体性质。一家国内CA机构签发的RSA算法证书，属于国产SSL证书；采用SM2算法的证书，同样属于国产SSL证书。两者的区别在于：国密SSL证书一定是国产的，但国产SSL证书未必是国密的。
国科云同时提供这两种类型的证书，并在此基础上覆盖了更完整的证书产品线。
一、Sanfront：国科云自有国产SSL证书品牌
Sanfront是国科云旗下的国产SSL证书品牌，通过了国际Webtrust审计与认证，具备国内、国际双资质，加密算法自主可控。从产品覆盖来看，Sanfront支持DV域名验证型、OV企业验证型以及通配符证书等多种类型，可以适配个人站点、中小企业网站和拥有多个子域名的组织机构的差异化需求，同时支持多域名绑定（SAN）和中文等国际化域名（IDN），并兼容主流浏览器和移动终端。
在算法层面，Sanfront证书提供SM2国密算法和RSA国际算法两种。SM2算法的证书符合国密要求，适合有密评整改需求的场景；RSA算法的L证书支持全球浏览器和移动终端，兼顾国际通用性。两种算法的根证书都在国内，证书体系完全基于国内CA PKI架构，根密钥在国内托管，实现国产证书的自主可控。
二、CFCA国密SSL证书
除了自有品牌Sanfront证书外，国科云还与中国金融认证中心（CFCA）合作，提供国产国密SSL证书。
CFCA是央行牵头设立的国家级权威CA机构，已通过国家密码管理局认定，可颁发国密算法（SM2/SM3）SSL证书，其根证书已预置入微软、谷歌、苹果、火狐四大根证书库。国科云提供的CFCA证书涵盖EV增强型和OV企业型，支持通配符及多域名配置，采用SM2/SM3算法，满足密评整改要求，适用于金融、政府、电商等对国产化合规要求较高领域的加密传输与身份验证需求。
在部署方式上，CFCA采用RSA和国密SM2两套独立证书，配合国密SSL网关实现自适应协商，当客户端环境支持国产密码算法时，系统自动选择国密证书；当客户端仅支持国际算法时，自动切换到全球信任的RSA证书，实现一次部署、全平台兼容。CFCA证书同时支持统信UOS、麒麟操作系统等国产操作系统和国密浏览器的互认互信。
安全牛发布的《SSL/TLS数字证书安全及管理技术应用指南》报告中，把国科云和CFCA等五家CA机构共同归为关键基础设施服务商，指出这些机构均有国资背景，证书应用以国密合规为主，是政务、金融、能源等关键行业国产化可信认证与密码应用的主要服务商。
三、国际证书产品线
国科云还和DigiCert、GeoTrust、GlobalSign等国外可信CA机构合作，提供国际算法SSL证书。这些品牌在SSL证书领域运营时间较长，采用国际主流的RSA算法，在全球浏览器和操作系统中的兼容性更强。
国际SSL证书适合跨国企业、外贸电商、金融支付机构、中大型企业官网和SaaS平台，用于海外业务站点、全球用户访问、在线支付、多域名管理和品牌展示。国科云提供的国际SSL证书品牌，旨在和Sanfront证书、CFCA证书搭配，为更多客户、更多样的业务场景，提供更多样化的证书品牌选择。
四、国科云SSL证书自主可控的实践路径
国科云SSL证书是否属于国产SSL证书，需要分品牌来看。
Sanfront是国科云自有品牌，是国产证书，同时也支持SM2国密算法，CFCA证书是国科云和CFCA合作提供的国密证书，同样属于国产证书范畴。DigiCert、GeoTrust、GlobalSign这些国际品牌证书由国外CA机构签发，属于代理合作产品，不属于国产证书。
政企客户在选择SSL证书类型和品牌时，还要看机构的属性以及所属的业务场景。
对于有国产化替代或国密合规需求的客户，优先选择Sanfront和CFCA两种国产国密SSL证书。Sanfront的优势在于品牌自主和产品类型灵活，适合需要快速部署、覆盖多种域名结构的中小规模场景。CFCA国密证书的优势在于金融级安全认证和完整的国密合规资质，适合对合规审计有明确要求的金融、政务类客户。
对国产化替代要求不高的行业，如普通中小企业、面向海外客户的跨国企业、外贸电商以及对浏览器兼容性较高的机构，可以考虑部署传统国际SSL证书品牌。
推荐阅读：
