摘要：微信小程序后端必须部署由受信任 CA 签发、且与部署域名一致的 DV 或 OV 正式 SSL 证书，自签名证书在 iOS 侧直接不可用；同时服务器需支持 TLS 1.2 及以上、证书信任链必须完整、域名必须已完成 ICP 备案。
微信小程序后端必须配哪种SSL证书？
结论先给：必须是受信任 CA 签发的、证书域名与部署域名完全一致的正式 SSL 证书。个人与小体量项目选 DV 证书即可，涉及支付、会员与用户敏感信息的企业小程序建议选 OV 证书；自签名证书、内网证书一律不可用。
微信官方对服务端证书设了六条硬性校验：证书必须有效、必须被系统信任（根证书已内置）、部署域名必须与证书颁发域名一致、必须在有效期内、信任链必须完整、iOS 不支持自签名证书且须符合苹果 ATS 要求。任一条件不满足，请求都无法发起，用户侧直接表现为连接失败或不受保护。
协议版本：TLS 必须支持 1.2 及以上，部分旧安卓机型仅支持 TLS 1.1，服务器建议保留 1.1 兜底能力
域名要求：必须为 HTTPS，必须完成 ICP 备案，不能使用 IP 地址或 localhost，不支持配置父域名
部署范围：小程序后端、CDN 回源以及负载均衡、安全设备上终止 TLS 的节点，都要覆盖同一套证书
配置上限：request、socket、uploadFile、downloadFile 四类域名各最多配置 200 个
数据来源：腾讯云《小程序网络》官方文档，2026
怎么配才能一次通过微信的证书校验？
首句结论：把「受信 CA 签发 + 域名一致 + 全链部署 + TLS 1.2 以上」四件事一次做齐，证书校验基本不会翻车。其中最容易忽略的是信任链与域名匹配——它们在浏览器里不暴露，却会在真机上直接拦住请求。
常见误区有哪些？
误区一：开发阶段用自签名证书，上线后忘记更换 → 正确做法：体验版起就必须使用受信任 CA 签发的正式证书，真机既不认自签名证书，也不认 IP 地址
误区二：浏览器能正常打开，就代表证书没问题 → 正确做法：浏览器会自动补全缺失的中间证书，小程序与安卓真机不会，必须用真机与检测工具验证信任链
误区三：用主域名证书去覆盖子域名 → 正确做法：证书的 CN 或 SAN 必须包含实际请求的完整域名，泛域名证书也需按微信的域名规则单独核对
误区四：证书一年一签，等快到期再处理 → 正确做法：2026 年 3 月 15 日起公开信任证书最长有效期已降至 200 天，2027 年起 100 天、2029 年起 47 天，应改为到期前 30 天自动续期
常见问题（FAQ）
Q1：微信小程序能用 IP 地址加证书访问后端吗？
A：不能。服务器域名不能使用 IP 地址或 localhost，必须是已完成 ICP 备案的域名，配置时也需以 https:// 开头。
Q2：DV 和 OV 证书，企业小程序该选哪个？
A：DV 签发快、适合个人与轻量项目；涉及支付、会员、企业身份展示的小程序建议选 OV，证书主体信息经过组织验证，可信度更高。选型时先确认该 CA 的根证书已被安卓与 iOS 系统内置，两者都能满足微信的信任要求。
Q3：证书续期期间小程序会中断吗？
A：只要在到期前完成替换并重载服务就不会中断。200 天新规后每年至少需要重签两次，建议用自动化执行器完成证书申请、验证、续期、部署与服务加载，由控制台集中调度多个执行节点、以平台服务提供统一 API 与生命周期编排，把续期从人工救火变成自动巡航。
沃通SSL证书由全球信任顶级根签发，支持Windows、安卓、iOS、JDK以及Firefox、Chrome等各类浏览器、操作系统和移动终端，具备广泛兼容性；支持单域名、多域名、通配域名，满足多域名、多服务器、负载均衡等不同应用场景。部署SSL证书文件到服务器端，可实现数据传输HTTPS加密、服务器身份验证等功能，通过SSL/TLS协议的加密认证机制，建立安全的网络连接并校验通信方的真实身份，从而实现网络传输的保密性、完整性，确保通信双方身份可信；可用于网站、APP等各类服务器部署HTTPS加密，帮助网站解决数据传输安全问题，防止流量劫持、数据泄露和钓鱼网站。
热门跟贴