Cloudflare 将成为免费证书颁发机构，收购 GlobalSign 根证书

Cloudflare 于 2026 年 9 月 29 日宣布，计划成为公共证书颁发机构（Certificate Authority，CA）。该公司已向 Chrome、Apple、Microsoft 和 Mozilla 的根证书计划（root program）提交申请，并签署最终协议，收购 GlobalSign 的一个根证书；该根证书自 2012 年起便受到各类浏览器、操作系统和设备的信任。Cloudflare 写道，十多年来它一直是证书的最大用户之一，但自己从未签发过一张证书。

证书颁发机构做什么

网站要在地址栏显示小锁图标，需要一张由浏览器信任的机构签发的证书，这类机构就是证书颁发机构。如今，免费且自动化的证书几乎全部来自同一处：Let's Encrypt。这正是 Cloudflare 的论点：大部分免费证书出自单一来源，一旦这个来源遇上糟糕的一周，就没有同等免费、自动化的替代方案。该公司还预计，随着证书有效期缩短、AI 智能体（AI agent）增多以及后量子证书走向主流，需求会继续增长。

为什么要买一个老根证书

全新的根证书要花数年才能普及到各类设备，而且永远到不了已不再获得更新的设备。据 Cloudflare 介绍，GlobalSign 的根证书能让它从第一天起就覆盖较旧的客户端。该公司也会提交一个自有的新根证书。公告没有说明收购何时完成，也没有说明涉及的是哪个根证书。

基于 ACME 自动签发，改一行即可切换

证书将通过自动化的 ACME 协议（Automatic Certificate Management Environment）签发。据博文介绍，正在使用其他免费证书颁发机构的用户只需更改目录 URL（directory URL）即可切换，无需新工具。条件只有一个：Cloudflare 只向支持 ACME 续期信息（ACME Renewal Information，ARI，RFC 9773）的客户端签发证书，这样一旦某批证书出现安全问题，它就能提前触发续期。

在同一天的第二篇博文中，该公司公布了后量子计划。由于后量子签名比现有签名大得多，Cloudflare 将采用默克尔树证书（Merkle Tree Certificates），按批次为证书统一签名。首批此类生产证书的目标时间是 2027 年第一季度，标准签发将免费。Cloudflare 还表示，在自有域名上进行的 Chrome Beta 试验中，它已提供这类证书数十亿次。

目前尚未签发任何证书，Cloudflare 表示这需要一段时间。能否被接受取决于各浏览器各自的审核，而对于默克尔树证书，目前只讨论了 Chrome 的计划。博文也没有说明现有 Cloudflare 客户是否会被自动迁移到新的证书颁发机构。想了解后续进展，值得关注各根证书计划的决定以及独立安全研究人员的评估。

来源：Cloudflare：为整个互联网打造证书颁发机构、Cloudflare：用默克尔树证书打造后量子证书颁发机构。