企业的数字证书往往分散在不同部门：市场管官网 SSL，研发管代码签名，法务管文档签名，行政管电子印章。平时各管一摊，到了年度审计、证书到期或人员离职，才发现台账缺失、责任不清。把证书管理做成一张年度清单，能让这些隐性风险显性化。
本文给出一份自查框架，企业可按规模裁剪。具体证书规则、审核要求和法律效力，以 CA 与适用规定为准。更多内容可按栏目浏览本站新闻中心。
一、域名与证书台账
先盘点企业使用的域名：官网、子站、API、客户门户、测试环境、旧域名跳转、品牌域名。每个域名记录证书类型、签发机构、覆盖范围、有效期、部署位置和负责人。没有证书的域名标注原因，例如仅内部访问或已停用。
台账应定期更新，新增域名及时登记，停用域名清理。对多域名和通配符证书，写清 SAN 列表和覆盖层级，避免续期时漏域名。
二、主体信息一致性
核对营业执照名称、注册地址、联系电话、网站主体信息和证书申请主体是否一致。企业更名、迁移、法定代表人变更后，更新证书和平台资料。英文翻译、品牌名和软件发布者名称要有说明，避免审核时被认定为不一致。
对集团多主体，明确哪个法人申请哪类证书，不要用 A 公司证书签 B 公司合同。签署权限和授权文件应与主体匹配。
三、密钥与介质
- 硬件介质编号、保管人、领用和归还记录。
- 私钥是否可导出，是否符合证书类型要求。
- 密码保管方式，是否存在共享密码。
- 签名操作日志和异常报告。
- 离职人员介质回收和权限注销。
私钥是证书安全的核心。再好的证书，如果私钥被复制或共用，证据链也会失效。企业应限制签名终端、记录操作人，并定期检查介质状态。
四、部署与监控
检查 SSL 证书是否部署到所有节点，包括 CDN、负载均衡、回源和多台服务器。验证证书链、域名匹配和有效期。配置到期提醒和链错误告警，告警要送到具体负责人。
代码签名和文档签名工具是否更新，时间戳服务是否可用，签名后是否自动验签。批量签署任务是否有失败隔离和审计日志。
五、历史文件与归档
抽查历史合同、安装包、驱动和公文是否仍可验证。检查证书链、时间戳和吊销状态证据是否保存。对超过五年的档案，关注算法和阅读器兼容性。发现无法验证的文件，评估重新签署或补充证据的可行性。
归档清单应与证书台账关联，能够按文件找到对应证书和签署记录。不要把验证截图当成单一证据，原文件和密码学材料都要保留。
六、供应商与授权文件
整理 CA、服务商和自动化工具的合同、授权书、联系人和支持渠道。确认授权范围、服务期限和续期方式。对跨境业务，保留 QES 授权和核验记录，授权书编号等信息归档备查。
供应商联系人变化时更新内部通讯录。不要只依赖某一个人的微信或邮箱，重要沟通通过正式渠道留存。
七、制度与培训
检查证书管理制度是否覆盖申请、审批、使用、续期、吊销和归档。新员工是否培训，离职员是否交接。每年至少做一次演练，例如证书到期替换、签名失败排查或介质遗失处理。
把自查结果形成报告，列出问题、责任人和完成时间。对无法立即整改的事项，评估风险并制定计划。制度只有被执行和检查，才有意义。
自查不是一次性的运动。把检查项分配到季度，每季度只看一部分，年度再汇总，工作量更容易控制。对多子公司企业，可以先统一表格字段，再让各单位填报，总部抽查关键项。
八、自查表怎么落地
把上述内容转成一张可勾选的自查表，按“证书类型、域名或文件、签发机构、有效期、保管人、部署位置、验证结果、整改事项”设列。每个季度抽查一部分，年度做全量。表格不必追求复杂，关键是能更新、能追溯、能分配到人。
对发现的问题分级：影响线上访问的立即处理；影响审核或续期的限期处理；制度缺失的纳入年度计划。整改完成后记录验证结果，不要只写“已处理”。对跨部门事项，指定牵头人和完成日期。
自查结果可以向管理层做一页摘要：证书总数、即将到期数量、验证失败数量、高风险问题、预算需求。用统一口径汇报，避免每次换一种说法。管理层关注的是风险和时间，而不是证书品牌清单。
再，把自查表与采购、运维、法务的日常工作连接起来。新域名上线前登记，新员工用印前培训，离职时回收介质，年度审计时抽查。证书管理不是额外任务，而是这些日常动作的汇总。
九、结语
SSLDUN 自 2017 年起通过合同方式获得 Certum 相关产品授权，可协助企业了解 SSL、代码签名、文档签名、QES 与 Qseal 的申请条件和续期安排。证书签发与法律效力由 CA 和适用规则决定。年度清单的目的不是增加表格，而是让企业随时回答：有哪些证书、谁在管、何时到期、能否验证。