Cloudflare 正在准备成为一个类似 Let’s Encrypt 的免费公共 CA。并计划支持任何符合 ARI（ACME Renewal Information, RFC9773）的ACME客户端自动申请和自动续期证书。
十二年以前，Cloudflare 开启了 Universal SSL，为其所有用户提供了可选的免费 SSL 证书。十二年后，Cloudflare 决定自己成为公共证书颁发机构。
免费证书的来时路
互联网资本巨头罕见地和各种网站经营者、运维人员达成了共识：SSL证书不应该是一个有门槛的商品，而应该是一个任何人都可以使用的维护互联网安全的基础设施。
以控制着全世界最大的搜索引擎和浏览器的Google为例，它不仅资助 Let’s Encrypt，自己的 Google Trust Services 同样免费提供免费 ACME 和证书签发服务。近些年来，Chrome浏览器也在不断地隐藏 https 的特征，隐藏 OV/EV 证书的特征。很显然，Chrome认为 https 理应是一种“默认状态”，而不受可信 ssl/tls 证书保护的站点才是“不安全”的异常情况。
免费 SSL 证书这件事本身就很反商业化。CA 承担着高昂的维护和审计成本，而且随时可能因为安全问题被拒绝信任（Fina CA & eMudhra：你说得对）；而大量用户使用工具完成自动申请和续期，几乎感知不到 CA 的存在，CA 机构无法像过去那样在用户续签证书的时候推送各种增值服务。互联网对 OV/EV 证书的袪魅，更是极度缩减了 To B “高级证书”签发业务的收入来源（就连 Cloudflare、OpenAI 的官网都直接用上了 GTS 签发的 DV 证书，你说呢）。
但与此同时，Google、AWS 等大厂却无比清醒地看到，想继续吃好互联网这碗饭，赚足互联网发展的红利，那就需要普及加密，遏制MITM和网络窃听，让 SSL 成为受到整个互联网认可的基础设施，而不是少部分人的特权。因此 Let’s Encrypt 每年都会收到来自 Google 等大厂的巨额赞助，以维持运营并继续以千万级规模的日签发量继续提供免费证书。
Cloudflare 的愿景
过去，Cloudflare 靠着 Sectigo、GTS、Let’s Encrypt 等 ACME 提供商为用户免费部署 SSL 证书。但是随着证书规模增长，从品牌建设、减少外部CA依赖、预防大规模故障、支持自动化与轮换、支持后量子证书等需求考虑，Cloudflare 依然决定自己承担安全与合规责任，运营自己的 CA。
目前，Cloudflare 已申请加入主要浏览器根证书信任计划，其已经签署了合同，计划收购 GlobalSign 已有根 CA，以尽快完成现有设备/系统的信任覆盖，保证新证书的广泛、快速信任兼容。
Cloudflare 的目标，是在 2027 年第一季度开始签发生产环境的 MTC 证书（后量子证书）。不过，GlobalSign 移交的 Root CA 是传统根 CA，抗量子根 CA 依然需要很长时间以在大多数设备/客户端上得到支持和信任。博文中提到，Cloudflare 会使用多个 CA 调配证书，这显然不单指 Root CA 签发的次级 CA，Cloudflare 很可能只将 GlobalSign 移交的这个 Root CA 作为“启动资本”，同时铺开更多自己的传统 Root CA。
Cloudflare CA 并不局限于为自己的 CDN 客户签发证书。相反，博客中透露了其 ACME-first 的理念和设计原则，表示其将与 Lets Encrypt 等机构/服务那样，接受外部的 ACME 证书颁发/更新请求。
下一个 Let’s Encrypt？
Buypass 已经入了土，ZeroSSL 与 GTS 要求 EAB，Sectigo 只提供有限的免费试用服务，目前只有 Let’s Encrypt 能够做到零负担的开箱即用。
但我注意到原始博客中的一段话：
anyone already pointed at any existing free CA can move to us by changing a directory URL, with no new tooling and nothing to re-architect.
也就是说，现有用户只需要修改 ACME Directory URL，就能迁移到 Cloudflare CA。
或许 Cloudflare 不打算强制要求 EAB？如果真是这样，它或许可以成为运维人员的下一个 Let’s Encrypt，互联网或许将迎来第二个面向公众、具备大规模签发能力的免费 CA。
而Cloudflare身为一个以全球 Web 性能优化、安全防护为核心业务，代理全球超过20%互联网请求流量的大厂，我相信其可能甚至比 Google 有更大的动力和需求，将 CA 业务长期稳定运营下去。
原文：Building a certificate authority for the whole Internet | Cloudflare Blog