# Cloudflare有意成为公共证书颁发机构 **URL:** \ **Category:** 情报\ **Tags:** 域名, 原创\ **Created:** [2026 年10 月 23 日 11:21 UTC](https://idcflare.com/t/topic/138520 "2026-10-23T11:21:05Z")\ **Posts on this page:** 6\ **Page:** 1
作者： ![MatsuzakaSato](https://idcflare.com/user_avatar/idcflare.com/matsuzakasato/32/19828_2.png) [@MatsuzakaSato](https://idcflare.com/u/MatsuzakaSato)\ 发布日期： [2026 年10 月 23 日 11:21 UTC](https://idcflare.com/t/topic/138520/1 "2026-10-23T11:21:05Z")
Cloudflare 正在准备成为一个类似 Let’s Encrypt 的免费公共 CA。并计划支持任何符合 ARI（ACME Renewal Information, RFC9773）的ACME客户端自动申请和自动续期证书。 十二年以前，Cloudflare 开启了 Universal SSL，为其所有用户提供了可选的免费 SSL 证书。十二年后，Cloudflare 决定自己成为公共证书颁发机构。 ## 免费证书的来时路 互联网资本巨头罕见地和各种网站经营者、运维人员达成了共识： **SSL证书不应该是一个有门槛的商品，而应该是一个任何人都可以使用的维护互联网安全的基础设施** 。 以控制着全世界最大的搜索引擎和浏览器的Google为例，它不仅资助 Let’s Encrypt，自己的 Google Trust Services 同样免费提供免费 ACME 和证书签发服务。近些年来，Chrome浏览器也在不断地隐藏 https 的特征，隐藏 OV/EV 证书的特征。很显然，Chrome认为 https 理应是一种“默认状态”，而不受可信 ssl/tls 证书保护的站点才是“不安全”的异常情况。 免费 SSL 证书这件事本身就很反商业化。CA 承担着高昂的维护和审计成本，而且随时可能因为安全问题被拒绝信任（Fina CA & eMudhra：你说得对）；而大量用户使用工具完成自动申请和续期，几乎感知不到 CA 的存在，CA 机构无法像过去那样在用户续签证书的时候推送各种增值服务。互联网对 OV/EV 证书的袪魅，更是极度缩减了 To B “高级证书”签发业务的收入来源（就连 Cloudflare、OpenAI 的官网都直接用上了 GTS 签发的 DV 证书，你说呢）。 但与此同时，Google、AWS 等大厂却无比清醒地看到，想继续吃好互联网这碗饭，赚足互联网发展的红利，那就需要普及加密，遏制MITM和网络窃听，让 SSL 成为受到整个互联网认可的基础设施，而不是少部分人的特权。因此 Let’s Encrypt 每年都会收到来自 Google 等大厂的巨额赞助，以维持运营并继续以千万级规模的日签发量继续提供免费证书。 ## Cloudflare 的愿景 过去，Cloudflare 靠着 Sectigo、GTS、Let’s Encrypt 等 ACME 提供商为用户免费部署 SSL 证书。但是随着证书规模增长，从品牌建设、减少外部CA依赖、预防大规模故障、支持自动化与轮换、支持后量子证书等需求考虑，Cloudflare 依然决定自己承担安全与合规责任，运营自己的 CA。 目前，Cloudflare 已申请加入主要浏览器根证书信任计划，其已经签署了合同，计划收购 GlobalSign 已有根 CA，以尽快完成现有设备/系统的信任覆盖，保证新证书的广泛、快速信任兼容。 Cloudflare 的目标，是在 2027 年第一季度开始签发生产环境的 MTC 证书（后量子证书）。不过，GlobalSign 移交的 Root CA 是传统根 CA，抗量子根 CA 依然需要很长时间以在大多数设备/客户端上得到支持和信任。博文中提到，Cloudflare 会使用多个 CA 调配证书，这显然不单指 Root CA 签发的次级 CA，Cloudflare 很可能只将 GlobalSign 移交的这个 Root CA 作为“启动资本”，同时铺开更多自己的传统 Root CA。 Cloudflare CA 并不局限于为自己的 CDN 客户签发证书。相反，博客中透露了其 ACME-first 的理念和设计原则，表示其将与 Lets Encrypt 等机构/服务那样，接受外部的 ACME 证书颁发/更新请求。 ## 下一个 Let’s Encrypt？ Buypass 已经入了土，ZeroSSL 与 GTS 要求 EAB，Sectigo 只提供有限的免费试用服务，目前只有 Let’s Encrypt 能够做到零负担的开箱即用。 但我注意到原始博客中的一段话： > anyone already pointed at any existing free CA can move to us by changing a directory URL, with no new tooling and nothing to re-architect. 也就是说，现有用户只需要修改 ACME Directory URL，就能迁移到 Cloudflare CA。 或许 Cloudflare 不打算强制要求 EAB？如果真是这样，它或许可以成为运维人员的下一个 Let’s Encrypt，互联网或许将迎来第二个面向公众、具备大规模签发能力的免费 CA。 而Cloudflare身为一个以全球 Web 性能优化、安全防护为核心业务，代理全球超过20%互联网请求流量的大厂，我相信其可能甚至比 Google 有更大的动力和需求，将 CA 业务长期稳定运营下去。 原文：[Building a certificate authority for the whole Internet | Cloudflare Blog](https://blog.cloudflare.com/cloudflare-certificate-authority) ---
作者： ![Yangzii](https://idcflare.com/user_avatar/idcflare.com/yangzii/32/63666_2.png) [@Yangzii](https://idcflare.com/u/Yangzii)\ 发布日期： [2026 年10 月 23 日 11:27 UTC](https://idcflare.com/t/topic/138520/2 "2026-10-23T11:27:48Z")
捉砂糖，第一次这么前排 ---
作者： ![TeainfrostOUO](https://idcflare.com/user_avatar/idcflare.com/teainfrostouo/32/54219_2.png) [@TeainfrostOUO](https://idcflare.com/u/TeainfrostOUO)\ 发布日期： [2026 年10 月 24 日 03:45 UTC](https://idcflare.com/t/topic/138520/3 "2026-10-24T03:45:38Z")
这个确实没意见 ---
作者： ![iglens](https://idcflare.com/user_avatar/idcflare.com/iglens/32/17986_2.png) [@iglens](https://idcflare.com/u/iglens)\ 发布日期： [2026 年10 月 24 日 04:23 UTC](https://idcflare.com/t/topic/138520/4 "2026-10-24T04:23:09Z")
毕竟赛博菩萨 ---
作者： ![antons](https://idcflare.com/user_avatar/idcflare.com/antons/32/80554_2.png) [@antons](https://idcflare.com/u/antons)\ 发布日期： [2026 年10 月 24 日 12:43 UTC](https://idcflare.com/t/topic/138520/5 "2026-10-24T12:43:52Z")
是的是的，老文了 ---
作者： ![BL1ACHxinzhan](https://idcflare.com/user_avatar/idcflare.com/bl1achxinzhan/32/16485_2.png) [@BL1ACHxinzhan](https://idcflare.com/u/BL1ACHxinzhan)\ 发布日期： [2026 年10 月 24 日 14:14 UTC](https://idcflare.com/t/topic/138520/6 "2026-10-24T14:14:15Z")
我擦，怎么嗅到一股老家N年前移动免费拉光线提供猫装家宽的抢用户套路，只要你的月租合标。