SAN License 订阅模式如何让证书成本从变量变成常量
在大多数CFO 的预算表里，SSL证书一直是个尴尬的科目：金额不算大，却总也估不准。去年花20 万，今年可能翻倍，问 IT 为什么，答案往往是"证书签得多了"。可"签得多"到底是业务增长还是环境混乱，财务通常说不清。而当证书最长有效期被一路压到 47 天（按CA/B Forum 的路线图，预计 2029 年前后全面落地），这种"说不清"会直接变成"兜不住"。
传统模式下，SSL 是按"张"卖的：每签发一张证书，就是一笔费用。这在证书有效期还有一两年的时候问题不大，但有效期越短，签发频次越高，账单就越长。
一个常被忽视的乘数效应是环境数量。同一业务往往有生产、预发布、测试三套环境，再加上微服务拆分、CDN、负载均衡、多语言站点，一个域名可能衍生出十几个需要证书的入口。按 GlobalSign 的测算：100 个业务域名，在 47 天有效期下，一年要签发约 800 张证书。按张计费，意味着业务域名没变，证书账单却翻了好几倍。
更麻烦的是测试与 CI/CD 流水线。每次构建拉起一个临时域名做测试，传统模式下根本算不过来，财务自然也不敢给预算——于是这笔钱要么被低估，要么干脆压着不让花。
GlobalSign的SAN License，把计价单位从"张"换成了"域名"。
具体来说：你先圈定一个域名池（也就是所有 SSL/TLS 证书里要使用的唯一 SAN / FQDN 数量上限），然后按这个池子一次性定价。之后无论你签发 2 张还是 800 张证书，只要域名池没超，费用都不变。
它的运作可以拆成四句话：
锁定域名池：按唯一域名数量定价，不再"每张证书算一次钱"。
签发不计数：池内域名随便签，一年签 2 次还是 800 次，费用一样。
重签不收费：配置错了、要升级算法、要换密钥，重新签发零额外成本。
撤销即回收：域名不用了，撤销证书后 SAN 名额自动回到池子里，不浪费。
域名数量是稳定的——它跟着业务走，不会突然暴涨；而证书签发量是波动的——环境一扩、密钥一换、有效期一缩，签发量就上去了。传统模式把账单绑在了波动量上，所以永远算不准；SAN License 把账单绑在了稳定量上，年度支出约等于"域名池规模 × 单价"，一口价，可预测。
不是所有公司都急需。域名少、环境单一的小团队，按张买也还好。但下面几类越早切越划算：
域名多的集团/大企业：年度预算能直接锁定，CFO 终于看清这笔钱花在哪。
电商、金融科技这类环境多、发布频繁的业务：47 天时代来了也波澜不惊。
DevOps 重度使用临时环境的团队：CI/CD 动态签发终于算得清账。
证书有效期缩短是大势所趋，按张计费在这个趋势下只会越来越贵、越来越乱。SAN License 的思路其实很简单：别再数你签了多少张证书，数你要保护多少个域名。把计价单位换一个，SSL 支出就从CFO 看不懂的变量，变成了能写进年度预算的常量。
