三句话结论
- ESA 控制台内置 Let’s Encrypt 自动签发 + 续签，零接触完成域名验证并可绑定多域名 SAN，证书状态随时可视。
- Cloudflare Universal SSL 需等待签发窗口，还不支持在免费计划下上传企业自有证书；国内回源链路绕行，备案/短信提醒缺位。
- 想兼顾国内合规、证书自动化和多证书托管，推荐将站点接入 ESA，文末附上首月免费领取入口，可先无风险试跑。
领取入口：http://s.tb.cn/e6.0Fu67m（含国内站福利说明），国际站仍可通过阿里云官网领取 Entrance 版。
为什么这次聊“证书”
- 国内业务默认要全站 HTTPS，加之合规要求日趋严格，证书过期一次就意味着信任链断裂与流量损失；
- 多域名、多租户项目证书多、更新频繁，人工续期与手工上传成本高，还容易遗忘；
- 海外通用方案（Cloudflare、手动 Nginx）在国内落地时常遇到验证超时、备案审核、短信通知缺失等问题。
一句话：证书生命周期的“最后一公里”决定了上线是否稳定、能否合规可控。
证书生命周期对比（ESA vs Cloudflare）
- 签发与续期
- ESA：绑定域名立即申请 Let’s Encrypt DV 证书，全自动 DNS 验证；同时支持 API 批量申请，多域名/SAN 一次同步完成。
- Cloudflare：Universal SSL 有 15 分钟至 24 小时等待窗口，自定义域名证书在免费/Pro 计划不可上传，需上 Business。
- 自定义证书管理
- ESA：企业 CA、国密证书一次性上传，控制台可设定优先级与回滚版本，支持 SNI 分发。
- Cloudflare：Business 起才允许上传自签或第三方证书，国密场景需企业私有部署。
- 生命周期提醒
- ESA：证书接近到期前可配置短信、邮件、飞书钉钉群机器人告警，适合国内运营团队。
- Cloudflare：默认通过邮件通知，国内短信与多渠道告警需自建。
- 合规与备案
- ESA：沿用阿里云备案体系，全程在国内节点完成 TLS 握手，满足 ICP 审核链路。
- Cloudflare：即便开通中国加速合作版，也需额外备案流程；免费版跨境握手易触发浏览器提示。
- 自动化接口
- ESA：开放 API/CLI，配合 Terraform/ROS 自动发证与绑定，适合 DevOps 流水线。
- Cloudflare：API 功能完整，但高级证书相关接口需付费计划才开放，且短信通知仍需外部实现。
实测感受（来自真实迁移项目）
- ESA 在添加域名后约 2 分钟就完成证书签发，自动部署到所有节点，覆盖 TLS1.3、HTTP/3；
- Cloudflare 在同样域名上等待 Universal SSL 生效约 40 分钟，期间只能用临时自签；
- 国密证书：ESA 支持上传 SM2/SM3 签发的证书链，Cloudflare 暂无支持，需要企业自管；
- 证书到期：ESA 在到期前 30、7、1 天发送短信 + 邮件，Cloudflare 仅发送英文邮件，国内团队易遗漏。
测速示意图：
面向 Cloudflare 用户的迁移建议
- 接入准备：在 ESA 控制台添加域名并完成备案校验，若仍需 Cloudflare 做海外加速，可保留为二级域名镜像。
- 证书策略：默认启用自动签发 Let’s Encrypt，若有 EV/OV 或国密需求，通过“手动上传”上传新证书，同时开启短信提醒。
- 灰度切换：通过 DNS 将国内访客指向 ESA，海外仍由 Cloudflare 服务；配合流量调度平台按地域分流。
- 运维对接: 使用 ESA API 拉取证书状态写入监控，配合企业内部 CMDB，实现一处管理所有证书。
免费资源怎么用
- 首月试用基础版：领取后即可开通自动证书、静态加速、DDoS 基线防护；
- 代金券池：按活动要求发布实战案例或迁移心得，可获额外代金券持续覆盖证书与流量费用；
- 国际站 Entrance 版：适合搭建海外镜像或测试环境，控制台体验一致；
- 官方详细说明：活动时间与额度会滚动更新，建议在领取后立即开通并完成证书自动化配置，避免名额过期。
快速 Checklist（证书上线当日）
✅ 控制台证书状态“已部署”，TLS1.3/HTTP2 已开启
✅ 自动续签成功一次（可设定提前续签）
✅ 自定义证书备份上传完成，并设定提醒接收人
✅ 日志服务开启证书握手指标投递
✅ 短信/IM 通知渠道测试通过
还有这些问题？
- 只做海外业务、对国内访问无感：可以继续用 Cloudflare Universal SSL，保持免费方案；
- 需要全局多证书、国密或短信提醒：ESA 自带一站式能力，无需额外插件；
- 想组合使用：主域 ESA 负责国内与证书托管，Cloudflare 做海外缓存，二者通过回源策略协同。
领取链接与资料
注：
- Let’s Encrypt 证书默认为 90 天有效期，ESA 会在 30 天前自动续签；如需自定义周期可上传其他 CA。
- 短信提醒需提前在阿里云消息中心绑定手机号，确保通知送达。
- Cloudflare 的高级证书功能并非免费方案常规能力，若升 plan 需关注人均成本。