网站已经备案，为什么还要装SSL证书

公司官网的ICP备案已经通过，备案号也拿到了，建站方却又提醒还要配置SSL证书。备案解决了网站按要求登记的问题，却不会自动把访客与网站之间的连接加密；要正常使用HTTPS，仍要有适用的证书及相应配置。

对网站负责人来说，备案进度和HTTPS是否可用，需要分别确认。前者涉及网站主办者及相关信息登记，后者关系到访客怎样与网站建立受保护的连接。网站服务里若已包含有效证书和部署，你该核对的是这份服务是否已经用在正式网址上，不能一看到SSL这一项就再买一次。

备案号和HTTPS，分别能说明什么

这里说的是使用中国内地接入服务、提供普通非经营性信息服务的企业网站。办理备案时要用到主办单位资料，并申报网站使用的域名、接入等信息。涉及其他地区或特殊业务的网站，应核对各自适用要求，不能把所有网站都套进同一套办理方式。网站开通时，应在主页按规定展示备案编号并链接备案系统。

SSL证书参与的是另一件事：帮助浏览器核验网站连接所对应的身份，并配合HTTPS保护传输中的数据。比如客户在询价表单里留下联系电话和需求，你要保护的就包括这些信息从浏览器传到网站的过程。ICP备案编号本身不会替这段连接完成加密。

所以一个网站可以已经完成备案，却仍没有正确开通HTTPS。反过来，浏览器能建立加密连接，也不能替代中国内地接入服务要求的备案手续。你拿到哪一项完成通知，就先确认它解决了哪件事，“备案成功”不代表完成上线的准备了。

域名实名、ICP备案和证书验证，也不是一次审核

建站时，公司可能先在域名注册商那里补过实名认证资料，随后又办理ICP备案，申请证书时还收到验证通知。看起来都在确认身份，容易让人觉得同样的资料被问了好几遍。

在域名注册商那里，持有人要完成相应的实名资料核验。办理ICP备案时，则按流程申报网站主办者和接入等情况。申请SSL证书，证书机构还要确认申请方能否管理所涉及的域名。这些步骤的用途不同，不能因为前一项通过，就认定后一项已经替你办好。

DV证书重点验证域名控制权，OV、EV等类型还涉及组织身份核实。因此，备案记录里有公司名称，不代表随便申请一张证书，证书里都会出现同样的企业信息。

遇到验证通知时，先看它来自哪个服务、要求完成什么。缺的是域名验证，就交给能够管理域名的人配合；备案接入商发来补件通知，就查看还缺哪些主办者或网站资料。只把原来的备案截图再发一遍，未必能完成证书所需的验证。

比如采用域名解析记录验证证书时，备案虽然已经通过，负责域名的同事却还没完成相应操作，申请就可能停在验证阶段。这时该找的是能管理域名的人，而不是重新走一遍备案。把缺少的动作问具体，才能减少来回传材料。

备案和证书办好以后，网站仍要继续维护

网站继续使用时，要保留能够查询备案的资料，也要记住证书的失效日期。负责证书的人应在旧证书失效前完成更换和访问检查；涉及备案登记的资料有变动，则按备案要求处理。为同一网站更换一张SSL证书，不要理解成要重新办理一次ICP备案，这两者没有关系。网站还应持续做好账号管理、程序更新和业务数据保护。HTTPS保护的是连接传输，并不会自动修复网站漏洞。

把备案状态、HTTPS访问结果和网站功能分别确认，网站负责人才能知道上线准备究竟完成到了哪里。SSL证书并不是备案之后多出来的一道重复手续，它解决的是访客连接这部分工作。已经包含的服务不必重复下单，尚未开通的HTTPS则应安排人员完成。