我们的要求只是确保通过 https:// 进行端到端通信的安全。我们需要从大多数 Android / iPhone 上可用的 CA 获得该证书。
证书的种类令人难以置信，价值从免费到 1000 美元不等。
建议 ？
答案1
首先，您可以省略任何提及扩展验证（EV）证书的证书，因为它们提供的附加功能仅对浏览器有用，并且往往具有较短的生命周期。
其次，除了上面提到的之外，它作为一个 API 本身并没有什么特别之处。如果你想使用客户端证书身份验证，那是你的选择，但我怀疑那会不会发生。
第三，您说您只考虑移动应用程序。在这种情况下，您可以发送 CA 证书（甚至是您免费提供的证书），这将是您配置应用程序使用的信任库。然后您的服务器只需提供由您的 CA 签名的证书即可。这称为证书固定，移动应用程序就是一个很好的例子，因为您（应用程序供应商）提供连接到您的（API 供应商）服务时要使用的信任库。
否则，只需选择 Firefox 已知的任何 SHA-2。确保您的服务在握手中提供中间证书（与较小的 CA 合作时很重要）。