2026-07-30
30
0
关于部署SSL/TLS证书、实现网站HTTPS化的合规要求与必要性说明
核心观点： 对于政务单位、高校、国有企业而言，网站就是数字时代的门面——门面不安全，里面再好也没人敢进。部署安全加密证书不仅是技术优化，更是法律法规的明确要求，具有不可回避的合规必要性。
一、什么是SSL/TLS安全加密证书？
SSL（Secure Sockets Layer）/TLS（Transport Layer Security）证书是一种数字证书，部署于网站服务器后，可实现以下功能：
身份认证：验证网站的真实身份，防止仿冒网站
数据加密：对浏览器与服务器之间传输的所有数据进行加密，防止窃取和篡改
完整性校验：确保数据在传输过程中不被中间人劫持或修改
技术表现为：网站地址由 http:// 升级为 https://，浏览器地址栏显示安全锁标识。
二、"没有不行"的法律依据
以下为部署SSL证书直接相关的国家法律法规及技术标准，逐条列明：
《中华人民共和国网络安全法》（2017年6月1日施行）
第二十一条 国家实行网络安全等级保护制度。网络运营者应当按照网络安全等级保护制度的要求，履行下列安全保护义务，保障网络免受干扰、破坏或者未经授权的访问，防止网络数据泄露或者被窃取、篡改：（一）制定内部安全管理制度和操作规程，确定网络安全负责人，落实网络安全保护责任；（二）采取防范计算机病毒和网络攻击、网络侵入等危害网络安全行为的技术措施；（三）采取监测、记录网络运行状态、网络安全事件的技术措施，并按照规定留存相关的网络日志不少于六个月；（四）采取数据分类、重要数据备份和加密等措施……
解读：法律明确要求采取"防范网络攻击""数据加密"等技术措施。未部署HTTPS加密的网站，数据传输处于明文状态，客观上未满足该条款要求。
《信息安全技术 网络安全等级保护基本要求》GB/T 22239-2019（等保2.0）
在"安全通信网络"层面明确提出：
通信传输：应采用密码技术保证通信过程中数据的保密性和完整性。
二级系统：要求通信过程中对鉴别信息、重要业务数据等进行加密保护
三级系统（政务网站常见等级）：要求对全部通信数据进行加密保护
解读：等保2.0将"通信传输加密"列为安全通信网络的必选项。未部署SSL证书的网站在等保测评中将直接判定为"不符合"。
《中华人民共和国密码法》（2020年1月1日施行）
第二十七条 法律、行政法规和国家有关规定要求使用商用密码进行保护的关键信息基础设施，其运营者应当使用商用密码进行保护，自行或者委托商用密码检测机构开展商用密码应用安全性评估。
解读：政务网站通常被认定为关键信息基础设施，依法必须使用商用密码（SSL证书即为商用密码产品的一种）对通信进行保护。
《中华人民共和国数据安全法》（2021年9月1日施行）
第二十七条 开展数据处理活动，应当依照法律、法规的规定，建立健全全流程数据安全管理制度，组织开展数据安全教育培训，采取相应的技术措施和其他必要措施，保障数据安全。
解读：数据安全法将"采取相应技术措施保障数据安全"上升为法定义务。网站未启用HTTPS加密，数据传输环节存在安全缺口，构成合规风险。
《中华人民共和国个人信息保护法》（2021年11月1日施行）
第五十一条 个人信息处理者应当根据个人信息的处理目的、处理方式、个人信息的种类以及对个人权益的影响、可能存在的安全风险等，采取下列措施确保个人信息处理活动符合法律、行政法规的规定，并防止未经授权的访问以及个人信息泄露、篡改、丢失：……（三）采取相应的加密、去标识化等安全技术措施……
解读：政务网站在线办事、高校门户的师生信息系统等均涉及大量个人信息处理。该条款直接要求采取"加密"安全技术措施，部署SSL证书是最基础、最直接的实现方式。
《关键信息基础设施安全保护条例》（国务院令第745号，2021年9月1日施行）
对关键信息基础设施实行重点保护，运营者应当建立健全网络安全保护制度和责任制，保障人力、财力、物力投入，采取技术保护措施和其他必要措施，应对网络安全事件。
解读：政务网站群、高校网络平台等通常属于关键信息基础设施范畴，条例对运营者的安全投入和安全保护措施提出了更高要求。
《国务院办公厅关于印发政府网站发展指引的通知》国办发〔2017〕47号
强调要根据网络安全法等要求，落实网络安全等级保护制度，建立安全监测预警和应急响应机制，对攻击、入侵事件及时预警和处置。
解读：政府网站发展指引从顶层设计层面将"落实等保制度"作为政府网站的刚性要求，而等保2.0已明确通信加密为必选项，由此形成政策链条的闭环约束。
三、不仅是合规，更是现实必要
浏览器强制标识"不安全"
自2018年起，Google Chrome、Microsoft Edge、Mozilla Firefox等主流浏览器已对HTTP网站全面实施"不安全"红标警示。用户访问未部署SSL证书的网站时，地址栏将醒目显示"不安全"或"连接不安全"，严重影响单位公信力和用户体验。
攻防演练的"一票否决"项
在每年开展的网络安全攻防演练中，未启用HTTPS加密的网站被视为"基础防护缺失"，属于一票否决项。明文传输的数据极易被攻击方截获，成为失分重点。
搜索引擎排名惩罚
Google、百度等主流搜索引擎已将HTTPS作为排名加权因子，未启用HTTPS的网站在搜索结果中的排名会受到负面影响。
四、证书类型选择建议
综合以上七部法律法规及国家标准，部署SSL/TLS安全加密证书已非"可选项"，而是政务单位、高校、国企的法定合规必选项。
对于各单位而言，证书部署既是满足政策要求的底线动作，也是对公众、师生、用户信息安全负责的基本态度。建议尚未完成HTTPS化改造的单位尽快列入工作计划，优先安排实施；已部署证书的单位应做好有效期管理，避免因证书过期导致安全标识中断。
本文档所引用法律法规条文均来源于全国人大网、中国政府网、国家标准化管理委员会等官方渠道公开信息，引用日期截至2026年7月。
甘公网安备 62010002000245号
