尊敬的火山引擎用户，您好：为遵循 Mozilla 等主流信任库的根证书更新策略，sslTrus 品牌所依托的 Sectigo 中级根证书将于 **2026 年 02 月** 起逐步启用全新的中级根体系。本次升级仅涉及**新签发或续费**的证书，已签发证书在有效期内可继续正常使用，无需更换。为符合浏览器及 CA/B 论坛行业规范，根据上游 CA 厂商 Sectigo 的要求，sslTrus 品牌所依托的中级根证书将于 **2026 年 02 月** 起逐步启用全新的中级根体系。本次升级仅涉及**新签发或续费**的证书；已签发证书在有效期内可继续正常使用，无需更换。 ## 升级影响 * **2026 年 02 月之前签发的证书**：不受影响，在有效期内可正常使用。 * **2026 年 02 月之后新签发或续费的证书**：将启用新中级根。对于 App 业务、IoT 终端等未预置新中级根的环境，可能需要手动更新服务器端证书链。 ## **升级时间安排** **新中级根启用时间**：自 **2026 年 02 月** 起，sslTrus 品牌证书将逐步启用新的中级根体系，所有新申请、续费或重新颁发的证书都将采用新的中级根证书进行签发。 ## **升级详情** ### **中级根证书变更** 不同类型的 sslTrus 证书将启用对应的新中级根证书。具体映射关系如下： |**原中级根** |**新中级根** |**适用证书产品** | |---|---|---| |sslTrus (RSA) DV CA |sslTrus RSA DV SSL CA 2 |sslTrus DV 系列 SSL 证书（RSA） | |sslTrus (RSA) OV CA |sslTrus RSA OV SSL CA 2 |sslTrus OV 系列 SSL 证书（RSA） | |sslTrus (ECC) DV CA |sslTrus ECC DV SSL CA 2 |sslTrus DV 系列 SSL 证书（ECC） | |sslTrus (ECC) OV CA |sslTrus ECC OV SSL CA 2 |sslTrus OV 系列 SSL 证书（ECC） | ### 证书链结构升级后，sslTrus 品牌证书在线上实际下发为 5 层交叉签名长链，最终信任锚定在 **AAA Certificate Services**。RSA 与 ECC 两套体系结构完全对称，按算法体系区分的具体层级如下： |层级 |RSA 体系 |ECC 体系 |有效期 |角色 | |---|---|---|---|---| |L1 |用户域名证书 |用户域名证书 |\- |服务器证书 | |L2 |sslTrus RSA DV/OV SSL CA 2 |sslTrus ECC DV/OV SSL CA 2 |\- |**新中级根（本次变更）** | |L3 |Sectigo Public Server Authentication Root R46 |Sectigo Public Server Authentication Root E46 |2021 年 3 月 22 日 \- 2046 年 3 月 21 日 |中间层（交叉签名） | |L4 |USERTrust RSA Certification Authority |USERTrust ECC Certification Authority |2010 年 2 月 1 日 \- 2038 年 1 月 18 日 |中间层（交叉签名） | |L5 |AAA Certificate Services |AAA Certificate Services |2004 年 1 月 1 日 \- 2028 年 12 月 31 日 |最终信任锚 | ## **影响范围** * **已签发证书**：不受影响。在启用新的中级根证书之前已签发的所有 sslTrus 品牌 SSL 证书，在其有效期内均可继续正常使用，无需进行任何更换或更新操作。 * **新签发、续费证书**：自 **2026 年 2 月起**，所有新申请、续费或重新颁发的 sslTrus 品牌证书都将逐步采用新的中级根体系进行签发。您在部署新证书时，需确保使用压缩包内最新的证书链文件进行部署。 * **自定义证书链部署**：部署证书时必须使用厂商下发的完整证书链文件，请勿自行用 Sectigo 官网下载的自签名 R46/E46 根证书替换链中对应层。自签名版本与线上下发的 "被 USERTrust 交叉签名" 版本 Subject 相同但 Issuer 不同，替换后会导致证书链断裂或部分老版本客户端校验失败。 * **对特定客户端或环境的影响**：如果您的 App 或物联网设备内置了旧的根证书或中级证书，可能会受到影响，需要提前更新 App 或设备固件中的证书配置。 * **兼容性说明**：实际信任锚为 **AAA Certificate Services**（1999 年生成、主流操作系统、移动端设备及 JDK 环境长期内置信任）。证书链通过 USERTrust RSA/ECC 交叉签名 R46/E46，可兼容 Android 7.1 及以下、iOS 12 及以下、老版本 JDK 等未内置 R46/E46 的环境。如果您对此次升级有任何疑问，或在部署新证书时遇到任何问题，请随时通过 [提交工单](https://console.volcengine.com/workorder/create?step=2&SubProductID=P00000216) 与我们联系。火山引擎技术支持团队将协助您平稳完成过渡。

证书中心