.app 和 .dev 域名：HTTPS 的隐藏门槛

使用 .app 或 .dev 后缀的 应用域名是由 Google Registry 运营的顶级域名（TLD），其最鲜明的特征是强制使用 HTTPS。这两个 TLD 都预置在浏览器的 HSTS 预加载列表中，因此网站根本不存在纯 HTTP 版本——在你配置好有效的 TLS 证书之前，访客的浏览器会拒绝连接。这就是那个门槛，而对大多数开发者来说，它是个好门槛。

预计每年费用约为 $15–20，比 $10–12 的 .com 高出几美元。作为交换，你获得的是立竿见影的“这是软件”信号，以及一道你永远不会忘记开启的加密。下文将说明这些后缀究竟适合谁、为什么强制 HTTPS 是优点而非缺陷，以及与熟悉的 .com 相比，这笔取舍最终如何权衡。

什么是应用域名，门槛在哪里？

.app 于 2018 年推出，.dev 于 2019 年向公众开放，两者均由 Google Registry 运营。对任何技术人员来说，它们读起来都一目了然：以 .app 结尾的网址意味着“产品”，而 .dev 意味着“工具、文档或开发者的个人空间”。它不会像 .co 那样被误认为 .com，毫无歧义。

这个门槛内置在浏览器中，而非 DNS 里。Google 已将这两个 TLD 提交到 HSTS 预加载列表——这是一份硬编码的域名清单，Chrome、Firefox、Safari 和 Edge 只会通过 HTTPS 加载其中的域名。由于浏览器一开始就绝不会发送不安全的请求，因此不存在可供重定向的 HTTP 回退。注册一个 .app 名称、将其指向一台没有证书的服务器，访客看到的将是安全错误，而不是你的主页。

为什么强制 HTTPS 是优点，而非缺陷

预加载级别的 HTTPS 封堵了一个普通重定向所无法防范的攻击。一个将 HTTP 重定向到 HTTPS 的普通网站，仍然会暴露那第一个不安全的请求，而共享 Wi-Fi 上的攻击者可以在重定向触发之前将其拦截——这就是经典的 SSL 剥离降级攻击。在预加载的 TLD 上，那第一个请求绝不会是不安全的，因此整类降级攻击都不复存在。

代价是需要提前规划。你无法快速搭建一个临时的 HTTP 预发布环境再稍后添加证书；证书必须在任何人（包括你自己）能够查看网站之前就已存在。实际上这是个已经解决的问题：

• 来自 Let's Encrypt 或你的主机商的免费自动化证书，可自动续期
• 来自 Vercel、Netlify、Cloudflare Pages 或 Firebase Hosting 等平台的托管式 TLS
• 像 Caddy 这样可为你签发并续期证书的反向代理

只需设置一次自动续期，这项强制要求便会变得无形。但一旦忘记，过期的证书会让网站彻底下线——这里没有降级的 HTTP 模式可供回退。

谁应该注册应用域名

当后缀本身就能发挥营销作用时，应用域名那一点点溢价便物有所值。非常适合的场景包括：

• SaaS 和 Web 应用——名称加上 .app 能让初次来访者明白自己看到的是什么
• 移动应用落地页——放置 App Store 和 Play Store 链接的天然之所
• 开发者工具、CLI 和 API——.dev 能瞬间传达目标受众
• 文档与状态页——docs.yourtool.dev 读起来就是专门为此而设
• 工程师的个人作品集——一个 .dev 网站本身就是一张低调的名片

对于本地服务型企业、面向非技术购物者的商店，或任何会在广播中被念出、或在电话里被逐字拼读的品牌来说，它则不太合适——这些受众默认使用 .com，可能既不信任也记不住其他任何后缀。

应用域名的价格 vs. .com 的信任度

金钱上的差距很小。在大多数注册商处，.app 或 .dev 每年约为 $15–20，而 .com 为 $10–12（预计 Verisign 将在 2026 年底上调批发价）。两者都不算贵；真正该比较的是认知度，而非价格。

.com 承载着数十年积累下来的默认信任，以及约占全部域名二级市场成交量 80% 的份额——人们会默认它、输入它、转售它。应用域名用这种普遍的熟悉度换取了精准性，而在安全方面，则换来了有保障的 HTTPS。

搜索排名并非某些人以为的决定性因素。Google 的 John Mueller 曾多次表示，新通用 TLD 在排名上与传统 TLD 一视同仁；.app 网站相较 .com 并不吃亏。（像 .io 或 .co 这样的国家代码 TLD 则另当别论——它们可能带有地理信号。）因此决策最终取决于受众：技术人群会把应用域名读作现代而用心的选择，而主流消费者受众仍会首先想到 .com。许多团队会出于防御目的注册 .com，然后在 .app 上进行建设。

在哪里购买——以及在哪里找到优质名称

对于标准注册，注册商的重要性主要体现在续费价格和隐私默认设置上：

• Porkbun——许多 TLD 约为 $11，免费 WHOIS 隐私保护，是全面且稳健的选择
• Cloudflare——接近成本价约 $10.46，但会强制你使用 Cloudflare DNS
• Spaceship——约 $9.98，人气日益上升
• Namecheap——首年促销价便宜（约 $5.98），续费价接近 $13.98–18.48

当心续费陷阱：GoDaddy 的续费价约为 $21.99，因此低廉的入门价并非真实成本。务必比较第二年的价格，而不是标价。

如果你想要的是一个优质、已具品牌潜力的应用域名，而非任何碰巧空闲的原始字符串，那就从一个精选的交易市场开始。Atom.com（DominantBrand 的二级市场合作伙伴）收录了经人工甄选的可做品牌的名称，并为每个名称附带免费的 AI 估值、USPTO 商标筛查、安全的第三方托管，以及随列表附赠的设计 logo——当你是在为一款产品命名、而不只是停放一个网址时，这些都很有用。更广泛的二级市场选择包括 Afternic、Sedo 和 Dan；论品牌质量请首选 Atom，并用其他平台来拓宽搜索范围。纵观整个二级市场，典型成交价约在 $2,000–3,000 之间，优质名称可能需要 3–18 个月才能售出，所以除了预算资金，也要预留时间。

锁定你的应用域名

由于应用域名的存亡系于其证书和 DNS，因此要加固掌控这两者的账户：

• 开启身份验证器应用的双重验证（2FA），而不是短信——后者易受 SIM 卡交换攻击
• 启用注册商锁定以阻止未经授权的转移
• 添加 DNSSEC 以防范 DNS 欺骗
• 使用一个位于不同域名下的恢复邮箱，这样即便此域名出现问题，也不会把你锁在自己的账户之外

两点运维提示：新注册或刚转入的域名有 60 天的转移锁定期，因此要在发布之前规划好迁移。另外，由于没有 HTTP 回退，请把证书自动续期当作生产基础设施来对待——持续监控它，因为在这些 TLD 上，过期的证书意味着彻底宕机，而不是一条警告横幅。

常见问题

在上线 .app 或 .dev 网站之前，我需要 SSL 证书吗？

需要。这两个 TLD 都在浏览器的 HSTS 预加载列表中，因此浏览器只会通过 HTTPS 加载它们。没有有效的 TLS 证书，网站将完全无法显示——没有 HTTP 版本可供回退。来自 Let's Encrypt 的免费自动化证书或托管式主机商都能解决这个问题。

与 .com 相比，.app 和 .dev 域名对 SEO 不利吗？

不会。Google 的 John Mueller 已确认，新通用 TLD 的排名与传统 TLD 相同。应用域名相较 .com 不会受到惩罚；差别在于受众的熟悉度，而非搜索排名。国家代码 TLD 是例外，因为它们可能带有地理信号。

应用域名每年要花多少钱？

在大多数注册商处每年约 $15–20，比 $10–12 的 .com 高出几美元。请查看续费价格而非首年促销价，因为有些注册商会宣传便宜的第一年，而续费价要高得多。

我可以运行 .app 网站的纯 HTTP 版本用于测试吗？

不行。即便是在这些 TLD 上的本地和预发布使用，也会被预加载列表强制使用 HTTPS。任何环境都需要有效的证书，不过像 Caddy 这样的工具或托管平台可以自动签发一个。

我在哪里可以购买优质、可做品牌的应用域名？

若想要经过精选、可做品牌的名称，可从 Atom.com 这样的交易市场入手，它为每个列表附带免费的 AI 评估、USPTO 商标查验、安全的第三方托管和设计 logo。Afternic、Sedo 和 Dan 是另外的二级市场选择。对于标准注册，Porkbun、Cloudflare 和 Spaceship 提供不错的价格。