Wie stellt man ein gültiges offizielles SSL-Zertifikat für eine Serviceanwendung aus?

[sh17]

Bin mal wieder am Thema dran, gerade auch durch diesen Post hier

https://talk.remobjects.com/t/improv...ing-betas/9048

Wie macht man es nun richtig?

Ich habe einen Service ohne spezielle Domain, der über TCP/IP oder auch HTTPS erreichbar sein soll. Er ist bei x-Kunden auf ihren eigenen Servern
mit dynamischen IP-Adressen installiert und soll nun ein SSL-Zertifikat bekommen, welches nicht self-signed ist.
So können sich beliebige Clients ohne Zertifikat-Installation mit diesem Service verbinden können. (Ideal wäre sogar noch eine Client-Authentifizierung per Zertifikat, die dann auch die Anmeldung abdeckt.)

Ich würde noch verstehen, wenn für jeden Server ein eigenes Zertifikat erforderlich ist. Was aber ist mit den dynamischen IP-Adressen? Könnten DynDNS-Namen zertifiziert werden?

StartSSL z.B. bietet nichts derartiges an. Welche offizielle Zertifizierungsstelle macht sowas?