网页、后台或接口只留了一个公网IP，HTTPS照样能开。把这个对外地址作为申请对象，通过CA的控制权核验，取得该IP的SSL证书，客户端就有了验证服务器身份的依据，也能通过TLS保护传输数据。
购买前先看客户实际输入什么。域名入口与IP入口可以连到同一台机器，但各自需要对应的证书身份。计划直接用IP提供服务，采购清单就按这个地址填写，别先买一张域名证书，再指望它替IP访问消除警告。
一、公网IP可以申请，内网地址走内部信任体系
CA/B Forum的基线要求允许公开信任TLS证书列入IPv4和IPv6地址，同时禁止列入其定义的保留IP地址。IP证书是标准支持的用法，申请过程要核实地址控制权，不能把它当成省略验证的捷径。
要保护云服务器的公网入口，就为符合公开签发要求的地址申请IP证书。家中路由器或公司局域网里的私有地址，则不能进入同一套公开签发体系。把预算加高、换一个更贵的品牌，都不会把私有地址变成可公开签发的地址。
内网要用HTTPS，就建立内部信任：由内部CA签发，再通过企业设备管理把相应信任配置到客户端。自签方案也能建立加密连接，但客户端必须另行信任它。对外网站面向未统一管理的客户设备，应选公开信任证书，不能让客户点击忽略警告来代替配置。
二、域名解析到这个IP，域名证书也不会顺便覆盖它
想象同一台服务器有两个入口：一个通过域名打开，另一个直接输入IP打开。网络连接抵达同一台机器，客户端核对的身份却不同。域名解析只是帮客户端找到服务器，不会给证书自动增加一个IP身份。
按RFC 9525的匹配规则，客户端从IP入口发起连接，就核对证书有没有列明这个具体地址。查看主题备用名称，也就是SAN，可以找到类型为iPAddress的条目。这里列出的才是IP身份，仅有域名条目无法完成这次匹配。
想让两个入口都保留，就分别落实域名与IP的覆盖；只保留一个入口，则按最终发布给客户的地址申请。判断依据是访问方式，而不是证书装在了哪台机器上。
填写时，把数字地址塞进“域名”栏并不能代替IP申请。签发结果必须生成正确的IP类型条目。拿到证书后逐项核对SAN，把实际访问地址与其中的IP条目对上，再进行部署。
三、多个IP逐个覆盖，换端口不用重新买身份
假设业务清单上有三个公网IP，需要三个地址都有对应覆盖。可以在多IP证书里逐项列出，也可以分开使用三张单IP证书。这里没有“给一个网段签张通配符”的选项，域名通配符也不会替这三个数字地址提供匹配。
双协议入口要登记两种地址。服务器的IPv4和IPv6各是一个独立身份，客户直接访问哪一个，证书就得有哪一个。申请清单同时列入实际使用的IPv4与IPv6，不能只填前者，再把后者留给客户端自行判断。
端口则是另一回事。同一个IP的443端口和8443端口，不会因端口不同变成两个证书身份。它们可以使用覆盖同一IP的证书，但两个接收TLS连接的服务都要完成配置。给443装好，不会自动替8443装好。
四、安信证书的公网IP产品，300元与3780元怎么选
安信证书官网提供两款明确对应公网IP的方案。一个IP只需要身份核验和HTTPS传输加密，可以选Comodo基础版DV IP SSL证书，官网价格为300元/年，覆盖1个IP。
企业需要组织身份审核，并希望在一张证书里覆盖多个IP，可以选安信证书官网推荐的DigiCert OV IP多IP方案，价格为3780元/年。该推荐卡列明支持3个不同IP，可扩展至50个；对应产品详情页名称为DigiCert基础版OV多域名SSL证书。
多域名产品出现在IP方案里，不是把IP改叫域名，而是这款产品通过SAN承载多个获准的身份条目。申请时提交实际要保护的IP，不能把“支持多域名”理解成任意地址都自动包含。
在这两款产品中，一个公网IP要开通HTTPS，选300元的单IP方案；多个IP需要企业身份核验，选3780元的OV方案。OV会审核组织信息，选它是为了这项身份要求和集中覆盖，不能拿年费高低判断DV是否能加密。
如果有三个独立IP，只需要分别开通HTTPS，按300元一张计算，三张单IP产品合计900元/年。它与3780元的OV多IP方案对应不同需求：前者分开管理三张证书，后者集中覆盖并核验企业身份。不要只看到“多IP”就认定一定更省钱。
安信IP SSL证书按年购买：Comodo单IP方案300元/年，覆盖1个公网IP；DigiCert OV多IP方案3780元/年，包含3个IP。需要保护更多IP，就扩展DigiCert OV方案，最多可覆盖50个IP。
五、申请要验证公网入口，安装也要落在这个入口
第一步先整理对外访问清单：把发给客户的公网地址填入申请。公网入口即使转发到内网机器，证书仍签给外面的地址，不能照抄机器网卡上的私有地址。
第二步生成密钥和CSR，也就是证书签名请求。提交CSR办理签发，把与它配套的私钥保存在部署环境中。选择OV产品，再提交企业资料并配合身份核验，地址清单仍按第一步填写。
第三步完成IP控制验证。安信IP产品页采用文件验证说明：按申请任务给出的路径与内容放置文件，保证CA从对应公网地址读取到它。手里有服务器账号，还需要通过这一轮外部核验，才能完成签发所需的控制权证明。
入口经过转发，就沿着公网请求实际走的路径检查。验证文件应能从外部读到，不能停在内网服务器上。遇到登录拦截、防火墙阻断或跳到另一套站点，先修正对应配置；指定内容读通以后，再发起核验。
证书签发后，先核对IP条目和实际有效期，再把证书、配套私钥和所需中间证书链配置到接收HTTPS连接的服务上。一个公网IP有多个站点时，还要保证直接输入IP的连接拿到IP证书，而不是其中某个域名站点的证书。
验收也走客户的入口：直接输入公网IP连接，查看实际出示的证书，核对地址、有效期和信任链。身份匹配与信任验证都通过后，再完成登录、表单和接口测试，确认整条业务访问路径可用。
IP SSL证书常见问题
1、没有域名，只有公网IP，能申请SSL证书吗？
能。地址须符合公开签发要求，并完成IP控制权验证。签发结果要在SAN的IP地址项中列出实际访问地址，装到对应服务后才能完成匹配和信任验证。
2、安信证书单IP方案一年多少钱？
安信证书的Comodo基础版DV IP SSL证书为300元/年，一张覆盖1个IP。需要组织身份审核和多IP覆盖，选DigiCert OV IP多IP方案，3780元/年，基础覆盖3个IP。
3、域名证书装在这台服务器上，为什么用IP打开还报错？
因为输入IP后，连接要验证的是这个地址。仅列域名的证书没有相应IP身份，就会报不匹配。即使两个入口指向同一台机器，证书里的身份也需要分别对应。
4、同一个IP使用两个HTTPS端口，需要两张证书吗？
不用。证书里的IP条目不区分443和8443，两处服务可以使用同一张覆盖该IP的证书。部署时分别让两个TLS服务加载它，再按两个端口实际访问检查，不能只测通其中一个。
5、换了公网IP，原来的IP SSL证书还能继续用吗？
要看原证书有没有列入新IP。没有列入，就取得包含新地址的证书并重新部署；已经列入，才有对应的匹配依据。把旧文件复制到新入口，不会自动改写里面的IP身份。
相关阅读：多个IP地址申请SSL证书
