广东
摘要：有必要。等保2.0 要求采用密码技术保证通信过程中数据的完整性与保密性，内网部署 HTTPS 是最直接的达标手段；内部证书同样会过期，必须纳入统一管理。
一、内部系统只在内网访问，为什么还要上 SSL 证书？
内网不等于安全。内部系统不对外暴露，只降低了被公网扫描的概率，并没有消除数据在传输链路上被窃听、篡改和重放的风险。
很多企业把安全预算压在边界上——防火墙、VPN 层层设防，却默认内网流量是干净的。可内网风险恰恰来自内部：同网段抓包、ARP 欺骗、运维通道被镜像，都能读到明文传输的口令和业务数据。
等保2.0 三级"安全通信网络—通信传输"要求：应采用校验技术或密码技术保证通信过程中数据的完整性与保密性。
等保2.0 三级"身份鉴别"要求：远程管理时应防止鉴别信息被窃听，部署 HTTPS 是常见达标做法。
GB/T 39786-2021 对第三级及以上信息系统提出密码应用合规要求，内部系统同样适用。
内部系统间的 API 调用、数据库连接、后台登录是明文传输高发区，加密范围不应只覆盖用户入口。
数据来源：全国信息安全标准化技术委员会，GB/T 22239-2019《信息安全技术 网络安全等级保护基本要求》，2019 年
二、内部系统应该怎么选证书？
结论：内部系统不宜一刀切，选型取决于访问标识是 "公网域名" 还是 "内网域名或内网 IP"。
根据 CA/Browser Forum 基线要求，自 2015 年 11 月起，公共信任 CA 不得为私有 IP 段和 .local 等内部主机名签发证书，因此纯内网标识只有两条路：映射到公网域名，或自建私有 PKI。
数据来源：CA/Browser Forum，Baseline Requirements for the Issuance and Management of Publicly-Trusted TLS Server Certificates
容易被忽略的变化：CA/B 论坛 Ballot SC-081v3 已明确，公开信任证书有效期自 2026 年 3 月 15 日起最长 200 天、2027 年 3 月 15 日起 100 天、2029 年 3 月 15 日起 47 天。内网私有 PKI 证书不在该政策范围内，但同样会到期、同样需要监控。
三、常见误区有哪些？
误区一：内网有防火墙就够了 → 边界防护管的是"谁能进来"，HTTPS 管的是"数据会不会被看光"。
误区二：内部系统自己签一张证书就行 → 自签证书不被客户端信任，安全告警形同虚设，应由私有 CA 签发并预置根证书。
误区三：用内网 IP 也能申请公共信任证书 → 公共信任 CA 已禁止为私有 IP 和内部主机名签发证书。
误区四：证书装一次就不用管 → 证书都有有效期，内部证书也会过期，应建立台账与到期监控。
常见问题（FAQ）
Q1：内部系统只在内网访问，也要上 SSL 证书吗？
A：建议上。账号口令和业务数据一旦在内网被嗅探即为全量泄露，加密成本远低于事后处置成本。
Q2：内网系统能用公共信任 CA 签发的证书吗？
A：可以，但需使用公网域名并完成域名验证；纯内网标识只能改用 私有 PKI 自建 CA。
Q3：内部证书过期会有什么后果？
A：浏览器会出现安全告警，系统间 API 调用可能中断；调研显示超半数组织曾因证书过期或配置错误遭遇非计划停机。
Q4：证书有效期越来越短，内部证书怎么管才省心？
A：建立"台账 + 监控 + 自动化"。用自动化执行器在目标服务器上完成证书申请、验证、续期、部署与服务加载，用可视化控制台集中调度多台执行器，再通过服务平台的生命周期编排与统一 API 对接内部系统和云平台。
特别声明：以上内容(如有图片或视频亦包括在内)为自媒体平台“网易号”用户上传并发布，本平台仅提供信息存储服务。
Notice: The content above (including the pictures and videos if any) is uploaded and posted by a user of NetEase Hao, which is a social media platform and only provides information storage services.
