本周SSL行业动态：免费证书将增一家规模化来源，域名验证与续期节奏同步收紧
过去一周，证书行业的两端同时有动作：签发端将迎来一个新的规模化免费来源，而域名验证与续期的规则窗口继续收紧；与此同时，一起域名注册局劫持事件提醒企业，被缓存下来的域名验证结果本身就是一条可被利用的路径。
9月29日，Cloudflare发布公告，宣布拟成为公共证书颁发机构（CA）。首批进展有两项：一是已向Chrome、Apple、Microsoft、Mozilla四家根计划提交纳入申请；二是签署协议收购GlobalSign一张已被广泛信任的根，该根自2012年起在浏览器、操作系统与设备中受信，可覆盖已停止接收更新、或从未收到过更新的旧设备，自有新根则按限制根年限的新政策设计。
公告表示，首批Merkle Tree Certificates（MTC计划于2027年第一季度签发，经典证书与MTC由同一套系统承担。更值得留意的是它对签发条件的设定：只通过 ACME协议签发与续期，并且只向支持ACME Renewal Information（ARI，RFC 9773）的客户端签发，订阅者必须维持自动化程序，轮询其续期端点并按公布的续期窗口执行。公告称，Cloudflare目前从16家合作 CA 获取证书，承载的流量超过全球互联网请求量的 20%。（来源见文末1、2）
10月6日，Chrome安全团队披露一起域名注册局劫持事件。加纳（.gh）、塞拉利昂（.sl）、美属萨摩亚（.as）三个国家和地区代码顶级域名的第三方运营方被入侵，攻击者篡改权威DNS记录，并借此获得了一批覆盖Google域名及其他机构域名的未授权HTTPS证书。
Chrome说明，这不涉及Google自身系统被攻破，也没有理由认为签发这些证书的 CA存在过错；其处置是立即通过CRLSets在Chrome中封禁，并与签发CA协作完成吊销，使其他客户端同样受到保护。随后，证书透明度（CT）日志中暴露出的更多受影响机构，也被Chrome一并封禁。Chrome同时提醒，浏览器侧拦截不能当作唯一防线：由于DNS劫持的复杂性，无法保证已识别出全部受影响域名，也不保护其他浏览器的用户。（来源见文末3）
10月7日，Let's Encrypt发布公告，宣布自2027年2月10日起，默认证书有效期由90天缩短至64天，订阅者也可选择更短的45天或6天档位；最后一张90天证书预计在2027年5月11日到期，此次调整不会吊销任何仍有效的证书。
为便于测试，其测试环境将自2026年10月14日起先行签发64天证书。公告给出的迁移建议很具体：续期已自动化、且客户端支持ARI的用户无需改动；把续期时间写死在"到期前若干天"的用户，应改为按证书寿命约三分之二处续期，并检查脚本中常见的83、80、60等硬编码数值。此外，域名验证的授权复用期将从30天缩短至10天，2028年进一步压缩至7 小时。（来源见文末4）
把三条消息放在一起，落点集中在"复用"两个字。域名验证结果被缓存复用，在注册局或DNS被劫持之后可以被攻击者用来继续签发证书，因此把 CAA 记录收紧到指定账户与验证方式，是成本较低的一道闸门；而当免费证书的默认寿命逼近两个月、验证复用期缩短到以天计时，依赖人工排期或写死日期的续期流程就难以为继。可以着手的有三步：为全部域名资产（含停用域名与地区后缀）建立证书透明度监控与告警；核对续期脚本依赖 ARI 还是硬编码日期；把公网证书、内部证书与信任链并入同一份台账，标明签发者、验证方式与责任人。
天威诚信深耕电子认证领域二十余年，同时具备国内与国际CA资质，旗下vTrus国密SSL证书与CIM证书智能管理系统覆盖证书的发现、签发、监控、续期与统一管理，可在签发格局与验证规则同步变化的过程中，帮助企业把证书状态保持可见与可控。
参考来源
Cloudflare《Building a certificate authority for the whole Internet》（2026年9月29日）https://blog.cloudflare.com/cloudflare-certificate-authority/ Cloudflare《Building a post-quantum certificate authority with Merkle Tree Certificates》（2026年9月29日）https://blog.cloudflare.com/pq-ca-with-mtcs/ Chrome Secure Web and Networking Team《Chrome's Response to Recent ccTLD Registry Hijacks》（2026年10月6日）https://blog.google/security/chromes-response-to-recent-cctld-registry-hijacks/ Let's Encrypt《64-Day Certificate Lifetimes Coming Feb 2027》（2026年10月7日）https://letsencrypt.org/2026/10/07/64-day-certs
