证书中心
证书中心
文档指南
请输入
- 文档首页
证书中心SSL证书用户指南证书中心支持品牌SSL证书根证书兼容性测试报告
复制全文
下载 pdf证书中心支持品牌SSL证书根证书兼容性测试报告
文档反馈
问问助手概述
当您的证书在某些环境出现不受信任或证书链不完整等兼容性问题时，可以参考本文档查询各品牌根证书在 Windows、macOS、iOS、Android、Java 等平台的支持情况，并据此下载、上传适配的证书链。
- 绝大多数 Web 场景无需关注：通过浏览器访问的网站，根证书与中间证书已内置在操作系统/浏览器中，按控制台下发的完整链部署即可。
- 需要重点关注的是非浏览器场景：Java 客户端、IoT/嵌入式设备、自定义信任库（trust store）、证书 pinning 等环境，可能需手动安装根/中间证书或更换适配证书链。
- DigiCert 体系：默认签发链自 2023-03-08 起为 G2/G3，仍完全受信；旧版 G1 根已于 2026-04-15 起被 Chrome/Firefox 停止信任，仅影响仍挂在 G1 上的自定义链。
- GlobalSign 体系：正迁移至 R46/E46 新根，并通过 R3→R46、R5→E46 交叉签名兼容旧环境；切换节点以官方公告为准（计划 2026-07-27 前后）。
- 国产 CA 需特别留意：CFCA 根证书不支持 Java，CFCA GT CA 在 iOS/Android 上不兼容且已于 2026-06-09 到期；如有跨平台需求请优先选用 CFCA EV ROOT 或其他品牌。
本报告由火山引擎证书中心维护，数据来源包括各 CA 官方根证书兼容性说明、Chrome Root Program / Mozilla 等浏览器根计划公告，以及证书中心产品侧配置。具体兼容性、有效期与吊信时间表，最终请以对应品牌官方最新说明及控制台实际下发的证书链为准。
证书链与兼容性差异说明
一条完整的 SSL/TLS 信任链由三部分组成，客户端按从下到上的顺序逐级校验：
- 实体证书（服务器证书）：绑定您的域名，部署在 Web 服务器上。
- 中间证书（Intermediate CA / ICA）：由 CA 用根私钥签发，用于隔离和保护根私钥，承上启下。
- 根证书（Root CA）：信任的最终锚点（信任锚），由操作系统、浏览器、JDK 等信任库预置。
客户端能否信任一张证书，取决于它的信任库里是否预置了链条顶端的根证书。兼容性差异的根源在于：不同操作系统、浏览器版本、JDK 版本、移动端系统、IoT 固件，其内置的根证书清单和更新策略各不相同。老旧系统可能缺少较新的根证书；自维护的信任库可能未及时纳入新根；而 CA 也会因合规要求升级根体系或被浏览器吊信。这些都会导致同一张证书在 A 环境正常、在 B 环境报不受信任。
说明
兼容性速查矩阵
下表按证书中心在售品牌目录汇总各品牌当前 / 目标根体系、关键中间证书与官方资料入口。
各品牌根证书兼容性详情
DigiCert 系（DigiCert / DigiCert Pro / GeoTrust）
DigiCert 系品牌共用 DigiCert 根体系。根据 DigiCert 官方说明，其受信根证书兼容所有主流浏览器与平台。自 2023-03-08 起，公共 TLS 证书的默认签发层级已切换至第二代 G2 / G3 根与中间证书体系；此前已签发且在有效期内的 G1 证书在到期前仍可受信。
典型证书链（现行）： 用户域名证书 → DigiCert Global G2 TLS RSA SHA256 2020 CA1（RSA）/ DigiCert Global G3 TLS ECC SHA384 2020 CA1（ECC）→ 对应 G2 / G3 根。
兼容性提示： 正常 Web 部署使用控制台完整链即可，不受 G1 吊信影响。需要重点核验的是仍将证书链固定挂靠在 G1 旧根、或在自定义信任库/pinning 中硬编码了 G1 的场景——应在 2026-04-15 前改用以 G2/G3 结尾的链。详见 DigiCert 根体系策略说明与 Cloudflare G1 distrust 指南。
此外，DigiCert 已于 2021-01-15 启用专用公共 TLS 新根 DigiCert TLS RSA4096 Root G5（RSA 4096）与 DigiCert TLS ECC P384 Root G5（ECC P-384），有效期至 2046-01-14；当前证书中心 DigiCert 系默认签发链仍为 G2/G3，G5 作为未来公共 TLS 迁移目标，关注长期演进或自定义信任库的客户可提前知悉。
GlobalSign 系（GlobalSign / AlphaSSL）
GlobalSign 正将公共 TLS 签发体系从旧的多用途根（R1/R3/R5/R6）迁移至专用 TLS 新根 R46（RSA）/ E46（ECC），并通过 R3→R46、R5→E46 交叉证书保证过渡期最大兼容性（旧客户端仍可经旧根验证新链）。证书中心切换节点以官方公告为准（计划 2026-07-27 前后）。AlphaSSL 隶属 GlobalSign 体系，根升级节奏与之一致。
兼容性提示： R46/E46 为 2019 年新根，较老的客户端（如未更新的 Windows 7、旧版 Android、长期未升级的 JRE/JDK、Mozilla 信任库、IoT 固件）可能尚未内置，此时需依赖交叉签名链或手动纳入新根。使用自定义信任库的环境，建议在切换前将 R46/E46 预置到信任库并验证链路。新根下当前主流签发 CA 示例：GlobalSign GCC R46 DV TLS CA 2025 / GlobalSign GCC R46 OV TLS CA 2025 / GlobalSign GCC E46 DV TLS CA 2025 SHA384 等；R3 标准体系下仍可见 GlobalSign GCC R3 DV TLS CA 2020 等签发 CA。E46/ECC 根的具体内置环境以 GlobalSign 官方说明为准。
WoTrus（沃通）/ sslTrus
WoTrus（沃通）与 sslTrus 品牌的底层根证书链源自 Sectigo / Comodo 体系（Sectigo 不是证书中心在售品牌，而是底层 CA / 根体系来源）。该底层体系正从旧的多用途根 AAA Certificate Services、USERTrust、COMODO RSA 迁移至单用途新根 Sectigo Public Server Authentication Root R46（RSA 4096）/ E46（ECC P-384）（均签发于 2021-03-22，有效期至 2046-03-21），并对老旧设备提供回链至 USERTrust / AAA 的交叉签名根。新签发体系下，DV/OV/EV 中间证书统一采用 R36（RSA 分支）/ E36（ECC 分支）命名。据 Sectigo 官方迁移说明，自 2026-01-01 起不再用旧链重签；证书中心侧沃通自 2026-02-01、sslTrus 自 2026-02 起启用新中间根体系。
兼容性提示： 新签发证书普遍采用实体证书 → R36/E36 中间证书 → 新根（并附 USERTrust/AAA 交叉根）结构，链路较长。务必直接使用平台或厂商下发的完整链文件，不要手动替换或删减交叉根，否则旧设备可能因缺链而校验失败。若使用证书 pinning，请重新评估 pinning 对象，避免锁定即将吊信的旧根。沃通国密 SM2 体系的根链与兼容性请以沃通官方说明为准。
国产 CA：CFCA / vTrus（含国密 SM2）
CFCA、vTrus 主要面向政府、金融及国产化改造场景，支持 RSA 与国密 SM2 体系。国产根证书在国际平台与 Java 环境的内置覆盖有限，跨平台部署前需重点核验。
根证书升级与吊信时间线
下表按时间汇总各品牌根升级与吊信节点，状态以当前日期 2026-06-29 判断。涉及浏览器吊信的均为公共 TLS 信任策略调整，影响仍挂靠相应旧根的链路；证书中心默认下发的现行链不受影响。
本报告中的兼容性版本、有效期与吊信时间表均来自各 CA 官方说明与浏览器根计划公告，并会随官方调整持续更新。对于国密 SM2、沃通/CFCA/vTrus 等品牌的部分细节，请以对应品牌官方最新说明及控制台实际下发的证书链为准。如需进一步确认，可以提交工单联系我们。
最近更新时间：2026.06.30 19:11:19
这个页面对您有帮助吗？
有用
有用
无用
无用