- 发布日期
Cloudflare 宣布进军公共 CA，向用户免费提供 ACME 等自动化 TLS 证书
- 作者
- 姓名
- 荷鲁斯快报
- 社交账号
Cloudflare于当地时间9月29日宣布，计划成为面向公众的证书颁发机构（CA），并已申请加入Chrome、Apple、Microsoft和Mozilla的根证书计划。公司还与GlobalSign签署最终协议，计划收购一枚已获广泛信任的根证书，以提升未来证书对操作系统、浏览器及设备的覆盖。Cloudflare目前尚未开始签发证书，相关工作仍处于申请和审批阶段。
此次布局是Cloudflare继2014年推出Universal SSL后，在互联网加密基础设施上的进一步延伸。当年，Cloudflare为旗下网站提供免费TLS，使大量网站开始默认使用HTTPS。新根证书即使获得厂商认可，也需逐步进入全球设备的信任存储，已停止更新的老旧设备通常无法获得它。
为解决信任覆盖问题，Cloudflare计划双轨推进。公司拟使用从GlobalSign获得的现有根证书，利用其已部署于浏览器、操作系统和设备中的信任体系，同时申请符合未来根证书计划收紧要求的新根证书。Cloudflare称，相关GlobalSign根证书自2012年起已获得多种平台信任。
Cloudflare还计划免费提供自动化证书服务，以ACME（自动化证书管理环境）为主要接口。用户只需修改ACME目录地址，即可将现有免费CA的管理流程迁移至Cloudflare，无需重新设计基础设施。Cloudflare称，Let's Encrypt每天约签发1000万张证书，服务超过5亿个网站，2025年活跃证书累计超过40亿张；增加同类公共CA有助于减少集中风险并提供冗余。
可靠性方面，Cloudflare要求使用其CA的客户端支持自动续期，并将ACME Renewal Information（ARI）作为签发条件之一。ARI用于告知客户端续期时间窗口，已标准化为RFC 9773。Cloudflare目前已采用多家CA并设置主备证书路径，以应对服务中断和证书撤销，公司希望把该冗余机制扩展至整个互联网。
Cloudflare计划公开证书签发系统及运营信息，包括签发软件的可复现构建结果，以及保存CA密钥的硬件安全模块证明。公司还将发布证书签发健康状态和安全事件面板。上述透明度措施旨在为外部监督提供依据。
Cloudflare还计划发展后量子证书，预计2027年第一季度开始签发生产环境中的Merkle Tree Certificates（MTC，默克尔树证书）。MTC旨在降低后量子密码体系下证书链增大造成的TLS握手负担，但不会立即取代传统证书。未来多年，现有WebPKI、传统证书和MTC将在同一CA中共存，让用户逐步迁移。目前，Chrome、Apple、Microsoft和Mozilla根证书计划均在推进审核，2027年初推出首批MTC是下一阶段的重要节点。
