一句话总结
普通SSL（RSA/ECC）：国际TLS，全球浏览器原生支持，受CA/B论坛200天有效期限制；国密SSL（SM2/SM3/SM4）：国产商用密码体系，主要用于密评/等保合规，Chrome、Safari原生不支持，有效期不受200天限制。
| 对比项 | 普通SSL（RSA/ECC） | 国密SSL证书 |
|---|---|---|
| 算法套件 | RSA/ECC + SHA256 + AES | SM2（签名/密钥交换）+ SM3（摘要）+ SM4（对称加密） |
| 证书结构 | 单证书，一张搞定 | 传统国密是双证书：签名证书 + 加密证书；现在也有单SM2证书方案 |
| 信任根 | 国际WebTrust根，全球浏览器预置 | 国内国密根（CFCA、GDCA、沃通等），只预置在国产信创浏览器、麒麟/统信里 |
| 浏览器兼容 | Chrome、Edge、Safari、Firefox、手机全部原生支持 | 原版Chrome/Edge不原生支持；仅360国密版、奇安信、红莲花等国密浏览器可用；一般要做双证书自适应部署（同时挂RSA+SM2），自动协商算法 |
| 有效期规则 | 公开信任证书：最长200天（2026.3.15起） | 不受CA/B 200天规则约束，国内CA可以发1年、2年等长期证书，这个就是你前面关心的点 |
| 合规属性 | 满足全球HTTPS，不满足密评、商用密码合规 | 《密码法》、等保三级、关键信息基础设施、政务系统做密评必须用国密证书 |
| 性能 | RSA验签慢；ECC快 | SM2 256位等效RSA3072，密钥短、握手更快、CPU开销更低 |
| 服务器要求 | Nginx/Apache/Caddy原生支持 | 需要国密补丁版Nginx、国密网关、国密WAF，原版Nginx不支持TLCP国密协议 |
| 协议 | 标准TLS 1.2/1.3 | TLCP（国密SSL协议），也有兼容TLS扩展国密套件的方案 |
两种常见部署方案
纯国密单证书：只对内网、政务专网、国产终端访问，外网用户打不开；
自适应双证书（最常用）：服务器同时部署一张RSA普通证书 + 一张SM2国密证书；
国密浏览器 → 走TLCP/SM2国密通道
普通Chrome/手机 → 走标准TLS+RSA/ECC通道，互不影响
选型建议
对外官网、小程序、面向大众业务：只用普通RSA/ECC证书，兼容性优先；
政务、国资、金融、等保三级、要过密评：必须上国密，搭配双证书自适应；
内网管理后台、信创环境：可以直接国密。
补充坑点：宝塔原版Nginx默认不带国密模块，想部署国密证书需要替换国密版Nginx或者加国密网关（如GMSSL、国密nginx）。
