IP SSL 证书（也叫 IP 地址 SSL 证书 或 SSL Certificate for IP Address）是一种专门绑定到公网 IP 地址（而不是域名）的数字证书，用于实现基于 IP 的 HTTPS 加密访问。
核心特点与作用
- 传统 SSL 证书：绑定域名（如 example.com），浏览器访问 https://example.com 时验证域名。
- IP SSL 证书：直接绑定公网 IPv4 或 IPv6 地址（如 https://192.0.2.1 或 https://[2001:db8::1]），适用于没有域名或不方便使用域名的场景。
主要作用（与普通域名证书完全相同）：
- 传输加密：防止中间人窃听、篡改数据（TLS/SSL 加密）
- 服务器身份验证：浏览器显示锁图标，证明服务器身份（避免“不是私有连接”警告）
- 数据完整性：防止传输过程中被修改
适用场景（什么时候需要 IP SSL 证书）
| 场景 | 为什么不用域名证书？ | 是否常见（2026 年） |
|---|---|---|
| 内网系统、测试环境、API 接口 | 没有公网域名，或域名解析不方便 | 非常常见 |
| 物联网设备、服务器直接 IP 访问 | 设备没有域名，或固定 IP 访问 | 常见 |
| 某些企业内部系统、VPN 入口 | 只用 IP 访问，不想额外买域名 | 中等 |
| 临时服务器、应急访问 | 来不及备案域名或解析 | 偶尔 |
| 某些老系统 / 遗留应用 | 历史原因只支持 IP 访问 | 仍有部分 |
不推荐的场景：对外公开网站、生产环境主站 → 强烈建议用域名 + 免费 Let’s Encrypt 或付费域名证书（更友好、更兼容、SEO 更好）。
与普通域名证书的主要区别
| 项目 | IP SSL 证书 | 域名 SSL 证书（普通） |
|---|---|---|
| 主体 | 公网 IP 地址 | 域名（FQDN） |
| 验证方式 | 验证 IP 所有权（通常 HTTP 文件验证 + WHOIS） | 域名控制权（DNS / 文件 / 邮箱 / 企业验证） |
| 浏览器兼容性 | 较差（部分老浏览器/系统不支持或警告） | 几乎 100% 支持 |
| 证书类型支持 | 通常只支持 OV（组织验证），很少 DV | DV / OV / EV 都有 |
| 价格 | 一般更贵（稀缺 + 验证复杂） | DV 免费或几元/年，OV 几十到几百 |
| 浏览器显示 | 锁图标，但 URL 显示 IP（不美观） | 显示域名 + 锁图标（更专业） |
| Let’s Encrypt 支持 | 2025 年中开始逐步支持（有限制） | 全面支持 |
如何申请 IP SSL 证书（2026 年主流流程）
- 确认前提条件
- 必须是公网 IP（不能是内网 192.168.x.x、10.x.x.x 等私有地址）
- 你（或你的组织）必须真正拥有/控制这个 IP（WHOIS 信息能查到你的组织信息）
- 准备好能证明 IP 控制权的材料（部分 CA 要求）
- 选择支持 IP 证书的 CA（证书颁发机构）（2026 年常见选项）
- 付费商业 CA（最稳定、兼容最好）
- GlobalSign（OrganizationSSL 支持 IP）
- Sectigo / Comodo
- DigiCert
- GeoTrust
- 国内：沃通 WoSign、锐成、JoySSL、CFCA 等
- 价格：通常 几百到几千元/年（视品牌和验证级别）
- 免费 / 低成本选项
- Let’s Encrypt：2025 年 7 月开始正式支持 IP 证书（短有效期 短生命周期证书），但有严格限制：
- 只支持 http-01 / tls-alpn-01 验证（不能用 DNS）
- 需要 ACME 客户端支持 draft-acme-profiles 和 shortlived 模式
- 目前还在逐步开放（Staging 环境已可用，生产环境 2025 下半年全面）
- ZeroSSL、Google Trust Services 等部分免费 CA 也在跟进
- 申请步骤（以商业 CA 为例）
- 去 CA 官网选购 Organization Validation (OV) SSL（大多数只支持 OV，不支持 DV 或 EV）
- 在申请表单中填写 IP 地址（而不是域名）——通常放在 Common Name (CN) 或 Subject Alternative Name (SAN) 中
- 提交 IP 所有权验证（常见方式）：
- 在该 IP 的 80 端口放一个验证文件（http://你的IP/.well-known/…）
- WHOIS 查询确认组织信息
- CA 审核（1-10 个工作日不等，OV 验证比 DV 慢）
- 下载证书（.crt + .key + 中间链）
- 部署到服务器（Nginx / Apache / IIS 等配置 listen 443 ssl）
- 自签名证书（测试环境用，不推荐生产）
openssl req -x509 -nodes -days 365 -newkey rsa:2048 \
-keyout server.key -out server.crt \
-subj "/CN=你的公网IP" \
-addext "subjectAltName=IP:你的公网IP"→ 浏览器会报“不安全”，但可以手动信任（仅限内部测试）。
小结建议
- 99% 的情况：优先买个便宜域名 + 免费 Let’s Encrypt 域名证书（最省事、最兼容）
- 确实只能用 IP：选择支持 IP 的 OV 证书（商业 CA）或等 Let’s Encrypt IP 支持完全成熟
- 浏览器兼容：IP 证书在老系统/某些移动端可能有警告，提前测试
如果你有具体的 IP 地址场景（内网穿透？API？测试服务器？），可以告诉我，我帮你推荐最合适的证书类型和部署方式。
