国密SSL证书支持哪些国产浏览器？主流客户端兼容性全面盘点

国密HTTPS与普通HTTPS存在本质差异：国际主流浏览器 Chrome、Edge、Firefox、Safari 并不原生支持国密算法与国密协议，网站一旦只部署国密证书，使用这些浏览器的用户将直接看到连接失败或安全警告。因此"国密SSL证书到底支持哪些国产浏览器、客户端兼容性如何"，成为国密改造项目选型时最先要回答的问题。本文从算法、证书、协议三层技术底座出发，系统盘点当前主流国产浏览器及配套客户端的国密兼容性，并给出落地部署与排查建议。

一、技术底座：国密SSL的算法、证书与协议三层

国密SSL并非简单地把 RSA 换成 SM2，而是算法体系、证书形态、协议栈和信任链的整体替换，这是判断"哪些客户端能用"的前提。

1. 算法体系：SM2、SM3、SM4 的组合
国密SSL证书依赖三套国产算法协同工作。

• SM2 是非对称公钥密码算法，基于 256 位椭圆曲线，承担数字签名与密钥协商，安全强度对标 RSA 2048 位以上；
• SM3 是杂凑算法，输出 256 位摘要，用于证书签名哈希和握手完整性校验；
• SM4 是 128 位分组对称密码算法，负责 HTTPS 数据通道的加密传输。

三者的组合与 TLS 体系中"ECDSA+AES+SHA"的架构一一对应，但算法实现完全自主可控。

2. 证书形态：SM2 国密双证书
国密SSL证书与国际证书最大的形态差异在于"双证书"体系。

• 国际SSL证书通常是一张 RSA 或 ECC 单证书；
• 国密体系则要求同一域名同时持有两张证书，一张 SM2 签名证书、一张 SM2 加密证书，两套密钥分离使用，分别承担身份认证与数据加密，这与国内 PKI 体系中"签名证书+加密证书"的传统设计一脉相承。

申请国密SSL证书时，需要向具备《电子认证服务许可证》和《电子认证服务密码使用许可证》的合规 CA（如 CFCA、GDCA、沃通、天威诚信、数安时代等）申请签发。

3. 协议标准：GB/T 38636 与 GM/T 0024
国密HTTPS的传输协议为 TLCP（传输层密码协议）。现行国家标准 GB/T 38636-2020《信息安全技术 传输层密码协议（TLCP）》由 GM/T 0024-2014《SSL VPN技术规范》演化而来，其 TLCP 1.1 版本基于 TLS 1.1 框架改编；2021 年发布的 RFC 8998 又定义了国密 TLS 1.2 密码套件，使国密算法可以沿标准 TLS 1.2 通道传输。浏览器侧则遵循 GM/T 0087《浏览器密码应用接口规范》，在 WebCrypto 接口基础上扩展了 SM2、SM3、SM4 的调用方式。协议不兼容是"国际浏览器用不了国密站点"的直接原因，而浏览器原生集成国密算法库与 TLCP 支持，是"国密浏览器"的定义性特征。

二、主流国产浏览器国密兼容性全面盘点

综合各 CA 官方互认清单与厂商公开资料，当前原生支持国密SSL证书的国产浏览器主要包括以下产品。

1. 奇安信可信浏览器
奇安信可信浏览器由奇安信集团出品，是政企与信创市场占有率最高的国密浏览器之一。它全平台支持 GB/T 38636 TLCP 密码协议标准，Windows、Linux、macOS（含苹果 M1 原生版本）均有覆盖；原生集成 SM2/SM3/SM4 算法库与国密根证书信任库，访问部署国密证书的站点时自动启用国密通道并显示安全可信标识。在密评现场验证、政务办公、信创终端等场景中，奇安信可信浏览器通常被列为标准验证浏览器。

2. 360安全浏览器
360安全浏览器是国内首家支持 TLCP 国标的浏览器，2020 年发布的 V10 版本率先在 Windows 与信创平台同步支持国标密码套件，其密码模块已通过商用密码产品二级认证（符合 GM/T 0028 密码模块安全技术要求）。目前 360安全浏览器及面向信创的 V10+ 版本均原生支持国密SSL证书访问，并参与 360 信创 SM2 根证书计划，站长可将 SM2 证书纳入 360 浏览器根证书库。需要注意区分产品线：支持国密的是 360安全浏览器及企业版、信创版，消费级市场的 360极速浏览器 X 等产品默认不提供国密通道。

3. 红莲花安全浏览器
红莲花安全浏览器由海泰方圆推出，通过了国家密码管理局商用密码检测中心检测并取得国密认证二级证书。其实现严格遵循 GB/T 38636 TLCP 标准与 GM/T 0087 浏览器密码应用接口规范，同时符合 GM/T 0028 密码模块安全二级要求，与 CFCA、GDCA 等多家 CA 完成互认预埋，在政务云、公安、金融等场景应用广泛。

4. 密信浏览器
密信浏览器（MeSince Browser）由密信技术基于 Chromium 开源项目开发，原生支持 SM2/SM3/SM4 国密算法与国密SSL证书，同时兼容国际 RSA 证书；支持 USB Key 强身份认证，优先采用国密加密传输，并以 V1 至 V4 等级标识区分 DV、OV、EV 证书，适合对邮件加密、强身份认证有要求的合规场景。

5. 零信浏览器
零信浏览器（ZT Browser）由零信技术推出，免费向用户提供 SM2 国密访问能力，遵循 GM/T 0024-2014 与 GB/T 38636-2020 规范，具备 RSA、ECC、SM2 自适应能力并优先选择 SM2 算法，访问国密站点时在地址栏展示国密加密标识，常与零信国密改造方案配套使用。

6. 赢达信与沃通等其他国密浏览器
赢达信速龙安全浏览器是 CFCA、GDCA 等 CA 官方互认清单中的国密浏览器；沃通国密浏览器配合沃通 SM2/RSA 双证书方案，在国密浏览器访问时自动切换国密加密。此外，360企业安全浏览器（奇安信可信浏览器前身）及各类政务内网定制浏览器也在存量环境中保有大量部署。

综合来看，原生支持国密SSL的国产浏览器清单以奇安信可信浏览器、360安全浏览器、红莲花安全浏览器、密信浏览器、零信浏览器、赢达信速龙安全浏览器、沃通国密浏览器为核心，覆盖 Windows、Linux、macOS 与信创平台。

三、操作系统与信任链：兼容性的另一半

浏览器能"握手"不代表能"显示安全"。国密浏览器内置国密算法库之外，还必须信任国密 CA 的根证书，否则会弹出"证书不受信任"告警。当前主流信创操作系统已与主要 CA 完成互认预埋：统信 UOS、麒麟操作系统（KylinOS）内置国密根证书信任库，搭配上述国密浏览器可直接验证国密证书链。以 CFCA 为代表的 CA 也公开声明其国密SSL证书与统信 UOS、麒麟互认互信。对存量 Windows 终端，则需要通过浏览器根证书计划或企业级证书下发机制补齐信任链。

四、服务端配套：让国密站点真正可访问

客户端就绪之后，服务端必须同步完成国密化改造。原版 Nginx 与 OpenSSL 默认不支持 TLCP 协议，需要基于国密 OpenSSL 分支（如铜锁 Tongsuo）重新编译 Nginx 并开启 NTLS 国密传输支持，或部署商用国密网关、国密 SSL 卸载设备完成协议转换。证书侧需在服务器同时安装 SM2 签名证书与 SM2 加密证书两套文件。当前行业标准解法是 SM2/RSA 双证书双协议部署：同一域名并存国际 RSA 证书与国密 SM2 证书，国密浏览器自动走国密HTTPS，Chrome、Edge 等国际浏览器自动降级走 RSA 通道，兼顾合规与全量用户可访问，阿里云、腾讯云等云厂商均提供 Nginx 国密双证书部署方案。

五、客户端兼容性速查与选型建议

1. 面向政务、金融等密评场景，建议以奇安信可信浏览器与 360安全浏览器作为标准验证组合，两者同时具备 TLCP 支持、商用密码产品认证与 CA 互认背书；
2. 面向邮件加密与 USB Key 强认证需求，密信浏览器是成熟选项；
3. 面向预算有限的中小企业，零信浏览器可零成本解决国密访问问题。

信创终端环境优先选用与统信 UOS、麒麟深度适配的浏览器版本。需要特别强调的是，任何只部署国密证书的站点，都必须保留国际证书通道或国密网关，否则使用手机原生浏览器、Chrome 等客户端的用户将完全无法访问，这也是国密改造方案评审中的常见扣分点。

六、常见兼容性问题与排查思路

访问国密站点提示证书不受信任，优先检查浏览器是否为支持国密的版本，其次检查 CA 根证书是否已预埋或通过根证书计划加入信任库，可临时导入 SM2 根证书验证。国密浏览器能访问、国际浏览器报错，属正常现象而非故障，应通过双证书方案解决。移动端方面，iOS 与 Android 原生浏览器均不支持国密算法，政务 App 普遍通过内嵌国密 SDK 建立国密通道，这是移动端兼容性的标准做法。多浏览器并存的内网环境，建议通过统一浏览器管控平台统一下发版本与根证书，避免终端差异导致密评整改返工。

国密SSL证书的客户端兼容性，本质上是"算法—证书—协议—信任链"四层生态的兼容性。当前奇安信可信浏览器、360安全浏览器、红莲花、密信、零信等国产浏览器已实现原生国密支持，配合统信 UOS、麒麟的根证书互认，构成了完整的国密HTTPS访问闭环；服务端以 SM2/RSA 双证书双协议部署为落地主线。

相关阅读：

深入理解SSL证书的签名算法与安全性

揭秘DV SSL证书的密钥交换机制

SSL证书在保护电子邮件通信中的作用

国密SSL证书技术标准中加密套件（国密算法）的选择依据

多IP环境下的SSL证书管理策略与优化