CFO 终于能看懂 SSL 预算了：Atlas SAN License 订阅模式如何让证书成本从变量变成常量

CFO 终于能看懂 SSL 预算了：Atlas SAN License 订阅模式如何让证书成本从变量变成常量

在大多数 CFO 的预算表里，SSL 证书一直是个尴尬的科目：金额不算大，却总也估不准。去年花 20 万，今年可能翻倍，问 IT 为什么，答案往往是"证书签得多了"。可"签得多"到底是业务增长还是环境混乱，财务通常说不清。而当证书最长有效期被一路压到 47 天（按 CA/B Forum 的路线图，预计 2029 年前后全面落地），这种"说不清"会直接变成"兜不住"。

一、SSL 证书的成本为什么总是算不准

传统模式下，SSL 是按"张"卖的：每签发一张证书，就是一笔费用。这在证书有效期还有一两年的时候问题不大，但有效期越短，签发频次越高，账单就越长。

一个常被忽视的乘数效应是环境数量。同一业务往往有生产、预发布、测试三套环境，再加上微服务拆分、CDN、负载均衡、多语言站点，一个域名可能衍生出十几个需要证书的入口。按 GlobalSign 的测算：100 个业务域名，在 47 天有效期下，一年要签发约 800 张证书。按张计费，意味着业务域名没变，证书账单却翻了好几倍。

更麻烦的是测试与 CI/CD 流水线。每次构建拉起一个临时域名做测试，传统模式下根本算不过来，财务自然也不敢给预算——于是这笔钱要么被低估，要么干脆压着不让花。

二、SAN License 订阅到底怎么算

GlobalSign Atlas（支持 ACME 协议）上的 SAN License，把计价单位从"张"换成了"域名"。

具体来说：你先圈定一个域名池（也就是所有 SSL/TLS 证书里要使用的唯一 SAN / FQDN 数量上限），然后按这个池子一次性定价。之后无论你签发 2 张还是 800 张证书，只要域名池没超，费用都不变。它的运作可以拆成四句话：

• 锁定域名池：按唯一域名数量定价，不再"每张证书算一次钱"。
• 签发不计数：池内域名随便签，一年签 2 次还是 800 次，费用一样。
• 重签不收费：配置错了、要升级算法、要换密钥，重新签发零额外成本。
• 撤销即回收：域名不用了，撤销证书后 SAN 名额自动回到池子里，不浪费。

这套机制的本质，是让成本跟"你签发了多少张"彻底脱钩，只跟"你要保护多少个域名"挂钩。

三、成本怎么从变量变成常量

这正好是 CFO 最关心的一步。

域名数量是稳定的——它跟着业务走，不会突然暴涨；而证书签发量是波动的——环境一扩、密钥一换、有效期一缩，签发量就上去了。传统模式把账单绑在了波动量上，所以永远算不准；SAN License 把账单绑在了稳定量上，年度支出约等于"域名池规模 × 单价"，一口价，可预测。

四、对 CFO 真正意味着什么

可预测只是表层，更深的变化在三个地方：

• 安全投入不再和预算打架。过去为了省签发费，有些团队会拖着不换密钥、不重签，等于拿安全换账单。SAN License 下重签免费，定期密钥轮换、算法升级这类最佳实践终于能无摩擦执行。
• DevOps 和 CI/CD 敢放开跑了。临时环境、短生命周期基础设施过去因为算不清成本被压制，现在池内签发零成本，工程效率不再为财务让步。
• 预算能和业务对齐。域名池规模由业务决定，CFO 看一眼就知道钱花在哪、明年随业务增长预留多少，而不是被证书数量牵着走。

GlobalSign 产品管理总监 Gregory Tomko 对此说得很直白："无论是管理 5 个域名还是 5,000 个，SAN License 都提供一致且可预测的价格。"

五、谁最该现在考虑

不是所有公司都急需。域名少、环境单一的小团队，按张买也还好。但下面几类越早切越划算：

• 域名在 200 个以上的集团 / 大企业：年度预算能直接锁定，CFO 终于看清这笔钱花在哪。
• 电商、金融科技这类环境多、发布频繁的业务：47 天时代来了也波澜不惊。
• DevOps 重度使用临时环境的团队：CI/CD 动态签发终于算得清账。

证书有效期缩短是大势所趋，按张计费在这个趋势下只会越来越贵、越来越乱。SAN License 的思路其实很简单：别再数你签了多少张证书，数你要保护多少个域名。把计价单位换一个，SSL 支出就从 CFO 看不懂的变量，变成了能写进年度预算的常量。本文由 GlobalSign 产品团队撰写，供企业 IT 与财务规划参考。文中测算基于 GlobalSign 公开数据，具体报价以实际域名池规模与销售方案为准。