证书中心
证书中心
文档指南
请输入
- 文档首页
证书中心产品动态产品公告【产品公告】DigiCert SSL 证书客户端认证用途调整
复制全文
下载 pdf【产品公告】DigiCert SSL 证书客户端认证用途调整
文档反馈
问问助手尊敬的火山引擎用户，您好：
为遵循 Google Chrome 根证书计划的要求，自 2027 年 3 月 1 日起，DigiCert 将停止签发包含客户端身份验证扩展密钥用途（clientAuth EKU）的公共 TLS/SSL 证书，这些证书将仅包含服务器身份验证用途（serverAuth EKU）。如果您通过证书中心申请或使用 DigiCert 及旗下品牌的 SSL 证书，请根据证书的实际用途提前评估影响。
调整时间与范围
本次调整适用于 DigiCert 及旗下品牌的公共 TLS/SSL 证书，涵盖 DV、OV、EV 证书。由 DigiCert 签发的免费公共 TLS/SSL 证书也适用。
- 2025 年 10 月 1 日起：DigiCert 已默认仅包含 serverAuth EKU，不再默认包含 clientAuth EKU。
- 2027 年 3 月 1 日起：DigiCert 不再签发包含 clientAuth EKU 的公共 TLS/SSL 证书。新申请、续期、重新签发及副本签发均适用此规则，以实际签发时间为准。
2027 年 3 月 1 日之前已签发且包含 clientAuth EKU 的证书，其 EKU 和有效期不会因本次调整而改变，仍需满足证书链信任、吊销状态等校验要求。若在该日期当天或之后续期、重新签发或签发副本，新证书将不再包含 clientAuth EKU，提前购买订单不能保留旧规则。
对业务的影响
扩展密钥用途（Extended Key Usage，EKU）用于限定证书的用途。serverAuth 用于向客户端证明服务器身份，clientAuth 用于向服务器证明客户端身份，例如用户、设备或发起连接的服务。
- 仅用于网站 HTTPS 或 API 服务端身份验证：本次 EKU 调整不影响这些用途，无需为此更换证书。
- 用于客户端身份验证：如果您将公共 TLS/SSL 证书用作双向 TLS（mTLS）的客户端证书，或用于服务器间通信的客户端身份验证，后续签发的证书缺少 clientAuth EKU，可能导致身份验证失败。
是否受影响，取决于证书是否用于客户端身份验证。在 mTLS 场景中，仅用于服务端身份验证的证书仍可使用 serverAuth EKU。
应对建议
检查证书与业务用途
请先确认业务是否使用公共 TLS/SSL 证书向服务端证明客户端身份。证书中包含 clientAuth 不代表业务一定使用了客户端身份验证，还需结合客户端证书配置和服务端验证策略判断。
CERTIFICATE.pem 替换为实际使用的 PEM 格式终端证书文件路径，勿使用中间 CA 或根 CA 证书文件：
在输出中查找X509v3 Extended Key Usage。同时包含服务器和客户端身份验证用途时，该部分的输出如下：
仅包含服务器身份验证用途时，该部分的输出如下：
TLS Web Client Authentication 对应 clientAuth。若未显示 EKU 扩展，请进一步核查应用是否要求该扩展，不能仅凭这项输出判断能否用于客户端身份验证。
安排迁移与换证验证
如果业务依赖 clientAuth EKU，请在 2027 年 3 月 1 日前完成迁移和验证：
- 企业内部身份验证：可评估使用证书中心私有 CA 服务，创建包含 clientAuth EKU 的私有证书。私有证书需要自行配置信任，不具备浏览器默认的公共信任。
- 跨组织身份验证：先与通信对端确认接受的 CA、证书用途及身份校验规则，再评估 DigiCert 提供的 X9 PKI for TLS 等方案。具体方案的适用性与获取方式，请通过工单咨询。
选定证书方案后，请按以下顺序验证换证流程：
- 替换客户端证书前，先在验证客户端证书的服务器上配置所需的 CA 信任链。
- 在测试环境中检查证书链、EKU 和业务身份映射，验证 mTLS 握手及实际业务请求。同时检查自动续期、签发和部署流程，确认替换后的证书仍满足客户端身份验证要求。
如果同一张证书同时承担公网服务器身份验证和客户端身份验证，请分别配置适合两种用途的证书。公网 HTTPS 服务仍应使用受客户端信任的服务器证书。
参考信息
DigiCert 可能更新实施安排，请以官方通知为准。
最近更新时间：2026.10.16 17:56:16
这个页面对您有帮助吗？
有用
有用
无用
无用