没备案主机申请IP SSL；卡点在CA支持

证书这东西，域名能签，IP 也能签，问题只在于愿意给 IP 签的 CA 没几家。所以那句被问烂的话——没备案主机申请ipssl卡点在ca支持，不在你面板上点不点得动按钮，也不在你肯多掏多少预算。机器搁在境外、域名没走备案，这条路本来就走得通；真正把你拦住的是签发机构那一关：它凭什么相信这个 IP 此刻归你使。想通这一层，后面每一步都顺。

没备案主机申请ipssl卡点在ca支持，先把这几个词捋直

“没备案主机”这四个字其实有两种说法。一种是指机器在境内机房、网站没走备案流程，那基本别惦记了，境内 IP 该走的流程跑不掉，证书救不了这个；另一种更常见，是机器本身在境外或者香港，压根不需要备案，但手上只有个 IP，没有可用的域名，或者域名还没解析过来，只能想办法给 IP 上证书。第二种才是大家真正在聊的场景。

再说 IP SSL。它跟普通域名证书在技术上没多大差别，都是 X.509，区别在标识符——域名证书的 SAN 里写的是 example.com，IP 证书的 SAN 里写的是个 IP 地址。验证方式一样，都是证明“你现在控制着这个东西”，比如放个指定文件到网站根目录，让 CA 从公网抓得到。就这么点事，难点全落在“谁愿意签”上。

为什么愿意签 IP 的机构这么少

商业 CA 里确实有 IP 证书这个品类，几家老牌子都能做，但一般要走企业资质、材料比域名证书多，价格也明显贵出一截，具体档位以各家官网报价为准。免费阵营这边，Let’s Encrypt 前两年开始试水给 IP 签发短期证书，有效期很短，支持范围和申请条件随时会调整，用之前最好去翻一眼官方文档，别照着两年前的老教程硬抄。

至于为什么大部分机构不爱签，道理不复杂：IP 是可以换绑、可以释放、可以被回收的。今天这 IP 是你的，明天机房一调整就成别人的了，证书挂在那儿意义不大。域名好歹还有个注册人信息能追溯，IP 的追溯链要弱得多。所以能签的，多半把有效期压得很短，靠频繁续期来兜底。

验证那一步，八成的人卡在 80 端口

申请失败十有八九不是 CA 不给签，是它抓不到你的验证文件。检查顺序我一般这么走：先看 IP 是不是公网静态的，NAT 后面那层内网地址签不了，这个没有商量余地；再看安全组和系统防火墙，80 和 443 有没有真的放行，别只在面板上点了下放行就以为通；然后看有没有 CDN 或者反代在前面挡着，验证请求打到 CDN 节点上，回源路径一乱就 404 了。

还有个特别隐蔽的坑：验证 URL 被 301 跳到了 https，或者跳到了另一个域名。人眼看不出来，浏览器里一敲好像也正常，可 CA 的校验程序不吃这套，跳转一律当失败处理。临时把跳转规则关掉，验完再开回去，省事。

共享 IP 和弹性 IP，交钱之前先看清楚

共享 IP 就别想了，一台机器上几十个站共用同一个出口，你证明不了这个 IP 归你独占，签下来也不作数。弹性公网 IP 要注意的是绑定关系——证书绑的是那个 IP 字符串，不是你那台实例。哪天你把 EIP 从 A 机器解绑挂到 B 机器，或者干脆释放掉，证书立刻变成一张废纸，浏览器照样报警告。这跟域名证书不一样，域名换个 IP 解析过去还能用，IP 证书没这弹性。

按量计费、随用随开的机器也一样，停机回收 IP 之后再开一台，地址多半变了。要做长期服务，地址得先固定下来，再谈证书。

签下来了，用起来也未必舒坦

技术上通了不代表体验好。用户地址栏里看到的是一串数字加锁，很多人第一反应不是“安全”，是“这什么网站”。支付回调、小程序、公众号网页授权这些场景，卡的是域名，直接顶个 IP 上去基本没人认，这条绕不过去。搜索引擎那边也是同理，IP 直连的站点收录表现通常不理想，这是常识层面的判断，别指望证书能带来什么加分。

所以我一般的建议是：IP 证书当过渡方案用，接口调试、内部管理后台、临时的测试入口，都挺合适；真要对外正经跑业务，还是老老实实弄个域名解析过去，证书管理也简单得多。

短期证书想省心，只能靠自动化

如果走的是免费短期证书那条路，手动续期根本不现实，几天一到期，忘一次就全站红锁。常规做法是用 acme 客户端跑定时任务，续完自动重载 web 服务。各家客户端对 IP 模式的支持情况不一样，版本差异也大，装之前先看它文档里有没有写清楚，别拿域名模式的参数硬套。还有一种懒人办法：把证书申请和重载写成一个小脚本，塞进 crontab，跑通了就不管了。听着糙，但真省事。

收个尾，给几条我自己的判断标准。机器在境内、网站没备案的，先解决备案，别在证书上找补；机器在境外、IP 是静态公网的，可以去试，但先确认 CA 的支持列表，别先付钱后验证；共享 IP、随开随停的按量实例，直接放弃这条路；真要长期用，域名加普通证书永远比 IP 证书省心。剩下那些拿不准的细节——有效期多长、验证走哪个端口、支不支持泛 IP——以服务商或 CA 官方页面的说明为准，别信论坛里几年前的帖子。