## 概述当您的证书在某些环境出现不受信任或证书链不完整等兼容性问题时，可以参考本文档查询各品牌根证书在 Windows、macOS、iOS、Android、Java 等平台的支持情况，并据此下载、上传适配的证书链。 * **绝大多数 Web 场景无需关注**：通过浏览器访问的网站，根证书与中间证书已内置在操作系统/浏览器中，按控制台下发的完整链部署即可。 * **需要重点关注的是非浏览器场景**：Java 客户端、IoT/嵌入式设备、自定义信任库（trust store）、证书 pinning 等环境，可能需手动安装根/中间证书或更换适配证书链。 * **DigiCert 体系**：默认签发链自 2023\-03\-08 起为 G2/G3，仍完全受信；旧版 G1 根已于 2026\-04\-15 起被 Chrome/Firefox 停止信任，仅影响仍挂在 G1 上的自定义链。 * **GlobalSign 体系**：正迁移至 R46/E46 新根，并通过 R3→R46、R5→E46 交叉签名兼容旧环境；切换节点以官方公告为准（计划 2026\-07\-27 前后）。 * **国产 CA 需特别留意**：CFCA 根证书不支持 Java，CFCA GT CA 在 iOS/Android 上不兼容且已于 2026\-06\-09 到期；如有跨平台需求请优先选用 CFCA EV ROOT 或其他品牌。本报告由火山引擎证书中心维护，数据来源包括各 CA 官方根证书兼容性说明、Chrome Root Program / Mozilla 等浏览器根计划公告，以及证书中心产品侧配置。具体兼容性、有效期与吊信时间表，最终请以对应品牌官方最新说明及控制台实际下发的证书链为准。 ## 证书链与兼容性差异说明一条完整的 SSL/TLS 信任链由三部分组成，客户端按从下到上的顺序逐级校验： * **实体证书（服务器证书）** ：绑定您的域名，部署在 Web 服务器上。 * **中间证书（Intermediate CA / ICA）** ：由 CA 用根私钥签发，用于隔离和保护根私钥，承上启下。 * **根证书（Root CA）** ：信任的最终锚点（信任锚），由操作系统、浏览器、JDK 等信任库预置。客户端能否信任一张证书，取决于它的信任库里是否预置了链条顶端的根证书。兼容性差异的根源在于：不同操作系统、浏览器版本、JDK 版本、移动端系统、IoT 固件，其内置的根证书清单和更新策略各不相同。老旧系统可能缺少较新的根证书；自维护的信任库可能未及时纳入新根；而 CA 也会因合规要求升级根体系或被浏览器吊信。这些都会导致同一张证书在 A 环境正常、在 B 环境报不受信任。 **信息生效优先级**（出现冲突时从高到低）：① 官方 CA 最新说明 / 兼容性报告 → [② 证书中心最新变更公告](https://www.volcengine.com/docs/6638/2222435) → ③ 控制台实际下发的证书链文件 → ④ 本报告。

说明

如需快速确认一张证书的链结构、颁发者、有效期与算法，可使用证书中心的证书解析工具。

## 兼容性速查矩阵下表按证书中心在售品牌目录汇总各品牌当前 / 目标根体系、关键中间证书与官方资料入口。 |**品牌** |**支持等级 / 算法** |**当前 / 目标根体系** |**关键中间证书** |**官方兼容性报告** |**根证书下载** | |---|---|---|---|---|---| |**DigiCert** |DV / OV / EV · RSA / ECC |DigiCert Global Root G2（RSA）/ G3（ECC） |DigiCert Global G2 TLS RSA SHA256 2020 CA1；G3 TLS ECC SHA384 2020 CA1；EV RSA CA G2 |[DigiCert 兼容性](https://knowledge.digicert.com/general-information/compatibility-of-digicert-trusted-root-certificates) |[DigiCert 根证书库](https://www.digicert.com/kb/digicert-root-certificates.htm) | |**DigiCert Pro** |OV / EV · RSA / ECC |随 DigiCert 体系（G2 / G3） |DigiCert Pro 系列签发 CA（以控制台实际下发为准） |[DigiCert 兼容性](https://knowledge.digicert.com/general-information/compatibility-of-digicert-trusted-root-certificates) |[DigiCert 根证书库](https://www.digicert.com/kb/digicert-root-certificates.htm) | |**GeoTrust** |DV / OV / EV · RSA / ECC |随 DigiCert 体系（G2 / G3） |GeoTrust TLS RSA CA G1；GeoTrust EV RSA CA G2 |[DigiCert 兼容性](https://knowledge.digicert.com/general-information/compatibility-of-digicert-trusted-root-certificates) |[DigiCert 根证书库](https://www.digicert.com/kb/digicert-root-certificates.htm) | |**GlobalSign** |DV / OV / EV · RSA / ECC |R1 / R3 / R5 / R6 → 目标 R46（RSA）/ E46（ECC） |R3 / E46 体系签发 CA（以官方公告为准） |[Root Ubiquity](https://support.globalsign.com/ca-certificates/general-information/globalsign-root-ubiquity) |[GlobalSign 根证书页](https://support.globalsign.com/ca-certificates/root-certificates/globalsign-root-ubiquity) | |**AlphaSSL** |DV · RSA / ECC |随 GlobalSign：目标 R46 / E46 |随 GlobalSign 体系 |[Root Ubiquity](https://support.globalsign.com/ca-certificates/general-information/globalsign-root-ubiquity) |[GlobalSign 根证书页](https://support.globalsign.com/ca-certificates/root-certificates/globalsign-root-ubiquity) | |**WoTrus（沃通）** |DV · RSA / 国密 SM2 |新中间根：USERTrust RSA Certification Authority（旧链锚 AAA Certificate Services 已吊信） |2026\-02\-01 起启用新中级根（以沃通公告为准） |沃通官方兼容性说明（以官方最新报告为准） |沃通官方根证书下载 | |**vTrus** |DV / OV · RSA / 国密 SM2 |Certum Trusted Network CA（RSA） |vTrus 签发 CA（以官方资料为准） |vTrus 官方兼容性说明（以官方最新报告为准） |vTrus 官方根证书下载 | |**sslTrus** |DV / OV · RSA / ECC |新中间根体系（旧链锚 AAA Certificate Services 已吊信） |2026\-02 起启用新中级根（以官方公告为准） |sslTrus 官方兼容性说明（以官方最新报告为准） |sslTrus 官方根证书下载 | |**CFCA** |OV / EV · RSA / 国密 SM2 |CFCA EV ROOT（OV / EV）；CFCA GT CA 已于 2026\-06\-09 到期 |适用国产化场景；Java 不支持 |CFCA 官方兼容性说明（以官方最新报告为准） |CFCA 官方根证书下载 | ## 各品牌根证书兼容性详情 ### DigiCert 系（DigiCert / DigiCert Pro / GeoTrust） DigiCert 系品牌共用 DigiCert 根体系。根据 [DigiCert 官方说明](https://knowledge.digicert.com/general-information/compatibility-of-digicert-trusted-root-certificates)，其受信根证书兼容所有主流浏览器与平台。自 **2023\-03\-08** 起，公共 TLS 证书的默认签发层级已切换至第二代 G2 / G3 根与中间证书体系；此前已签发且在有效期内的 G1 证书在到期前仍可受信。 |**根证书** |**算法** |**有效期** |**角色** |**状态 / 说明** | |---|---|---|---|---| |DigiCert Global Root G2 |RSA 2048 |2013 — 2038 |现行 RSA 信任锚 |✅ 默认 RSA 签发链信任锚，主流环境广泛内置 | |DigiCert Global Root G3 |ECC P\-384 |2013 — 2038 |现行 ECC 信任锚 |✅ 默认 ECC 签发链信任锚 | |DigiCert Global Root CA（G1） |RSA 2048 |2006 — 2031 |旧 DV/OV 信任锚 |🔴 2026\-04\-15 起被 Chrome/Firefox 移出信任库 | |DigiCert High Assurance EV Root CA（G1） |RSA 2048 |2006 — 2031 |旧 EV 信任锚 |🔴 与其他 G1 根同步于 2026\-04\-15 吊信 | **典型证书链（现行）：** 用户域名证书 → DigiCert Global G2 TLS RSA SHA256 2020 CA1（RSA）/ DigiCert Global G3 TLS ECC SHA384 2020 CA1（ECC）→ 对应 G2 / G3 根。 **兼容性提示：** 正常 Web 部署使用控制台完整链即可，不受 G1 吊信影响。需要重点核验的是仍将证书链固定挂靠在 G1 旧根、或在自定义信任库/pinning 中硬编码了 G1 的场景——应在 2026\-04\-15 前改用以 G2/G3 结尾的链。详见 [DigiCert 根体系策略说明](https://knowledge.digicert.com/alerts/digicert-root-strategy-aligning-with-industry-standards)与 [Cloudflare G1 distrust 指南](https://developers.cloudflare.com/ssl/reference/migration-guides/digicert-g1-distrust/)。此外，DigiCert 已于 2021\-01\-15 启用专用公共 TLS 新根 **DigiCert TLS RSA4096 Root G5**（RSA 4096）与 **DigiCert TLS ECC P384 Root G5**（ECC P\-384），有效期至 2046\-01\-14；当前证书中心 DigiCert 系默认签发链仍为 G2/G3，G5 作为未来公共 TLS 迁移目标，关注长期演进或自定义信任库的客户可提前知悉。 **官方资料：** [兼容性说明](https://knowledge.digicert.com/general-information/compatibility-of-digicert-trusted-root-certificates) ｜ [根证书下载](https://www.digicert.com/kb/digicert-root-certificates.htm) ｜火山引擎公告：[DigiCert 根证书升级](https://www.volcengine.com/docs/6638/173810?lang=zh) ### GlobalSign 系（GlobalSign / AlphaSSL） GlobalSign 正将公共 TLS 签发体系从旧的多用途根（R1/R3/R5/R6）迁移至专用 TLS 新根 **R46（RSA）/ E46（ECC）** ，并通过 **R3→R46、R5→E46 交叉证书**保证过渡期最大兼容性（旧客户端仍可经旧根验证新链）。证书中心切换节点以官方公告为准（计划 2026\-07\-27 前后）。AlphaSSL 隶属 GlobalSign 体系，根升级节奏与之一致。 |**根证书** |**算法** |**有效期** |**平台支持（最低版本）** |**状态** | |---|---|---|---|---| |GlobalSign Root R46 |RSA 4096 |2019 — 2046 |Windows 10（经 Windows Update）/ 11+；新版 JDK 已纳入 |✅ RSA 迁移目标根 | |GlobalSign Root E46 |ECC P\-384 |2019 — 2046 |Windows 10（更新）/11+、macOS 12+、iOS/iPadOS 15+、Android 12+ |✅ ECC 迁移目标根 | |GlobalSign Root R3 |RSA 2048 |2009 — 2029 |主流环境广泛内置 |🟡 交叉过渡锚（R3→R46） | |GlobalSign Root R5 / R6 |ECC / RSA 4096 |2012 — 2038 / 2014 — 2034 |主流环境广泛内置 |🟡 交叉过渡锚（R5→E46） | **兼容性提示：** R46/E46 为 2019 年新根，较老的客户端（如未更新的 Windows 7、旧版 Android、长期未升级的 JRE/JDK、Mozilla 信任库、IoT 固件）可能尚未内置，此时需依赖交叉签名链或手动纳入新根。使用自定义信任库的环境，建议在切换前将 R46/E46 预置到信任库并验证链路。新根下当前主流签发 CA 示例：GlobalSign GCC R46 DV TLS CA 2025 / GlobalSign GCC R46 OV TLS CA 2025 / GlobalSign GCC E46 DV TLS CA 2025 SHA384 等；R3 标准体系下仍可见 GlobalSign GCC R3 DV TLS CA 2020 等签发 CA。E46/ECC 根的具体内置环境以 [GlobalSign 官方说明](https://support.globalsign.com/ssl/upcoming-changes-tls-roots-and-certificate-profiles)为准。 **官方资料：** [Root Ubiquity 兼容性](https://support.globalsign.com/ca-certificates/general-information/globalsign-root-ubiquity) ｜ [TLS 根与证书 Profile 变更说明](https://support.globalsign.com/ssl/upcoming-changes-tls-roots-and-certificate-profiles) ### WoTrus（沃通）/ sslTrus WoTrus（沃通）与 sslTrus 品牌的底层根证书链源自 Sectigo / Comodo 体系（Sectigo 不是证书中心在售品牌，而是底层 CA / 根体系来源）。该底层体系正从旧的多用途根 **AAA Certificate Services、USERTrust、COMODO RSA** 迁移至单用途新根 **Sectigo Public Server Authentication Root R46（RSA 4096）/ E46（ECC P\-384）** （均签发于 2021\-03\-22，有效期至 2046\-03\-21），并对老旧设备提供回链至 USERTrust / AAA 的交叉签名根。新签发体系下，DV/OV/EV 中间证书统一采用 R36（RSA 分支）/ E36（ECC 分支）命名。据 [Sectigo 官方迁移说明](https://www.sectigo.com/sectigo-public-root-cas-migration)，自 **2026\-01\-01** 起不再用旧链重签；证书中心侧沃通自 **2026\-02\-01**、sslTrus 自 **2026\-02** 起启用新中间根体系。 |**根证书** |**算法** |**有效期** |**Win** |**macOS** |**Android** |**Java** |**状态** | |---|---|---|---|---|---|---|---| |USERTrust RSA Certification Authority |RSA 4096 |2010 — 2038 |8+ |10.10+ |7+ |1.8.0+ |🟡 计划 2027\-04\-15 吊信 | |COMODO RSA Certification Authority |RSA 4096 |2010 — 2038 |8+ |10.10+ |7+ |1.8.0+ |🟡 计划 2027\-04\-15 吊信 | |AAA Certificate Services |RSA 2048 |2004 — 2028 |7+ |10.5+ |4.0+ |1.6.0+ |🔴 旧根，2025\-04\-15 起 Chrome/Mozilla 不信任 | **兼容性提示：** 新签发证书普遍采用实体证书 → R36/E36 中间证书 → 新根（并附 USERTrust/AAA 交叉根）结构，链路较长。务必直接使用平台或厂商下发的**完整链文件**，不要手动替换或删减交叉根，否则旧设备可能因缺链而校验失败。若使用证书 pinning，请重新评估 pinning 对象，避免锁定即将吊信的旧根。沃通国密 SM2 体系的根链与兼容性请以沃通官方说明为准。 **官方资料：** [Sectigo 新根与签发 CA 层级](https://www.sectigo.com/knowledge-base/detail/Sectigo-new-Public-Roots-and-Issuing-CAs-Hierarchy) ｜ [Sectigo 公共根迁移指南](https://www.sectigo.com/sectigo-public-root-cas-migration) ### 国产 CA：CFCA / vTrus（含国密 SM2） CFCA、vTrus 主要面向政府、金融及国产化改造场景，支持 RSA 与国密 SM2 体系。国产根证书在国际平台与 Java 环境的内置覆盖有限，跨平台部署前需重点核验。 |**品牌** |**根证书** |**算法** |**有效期** |**Win** |**macOS** |**Android** |**Java** |**状态 / 限制** | |---|---|---|---|---|---|---|---|---| |vTrus |Certum Trusted Network CA |RSA 2048 |2008 — 2029\-12\-31 |7+ |10.5+ |4.0+ |1.6.15+ |🟡 2027\-04\-15 起 Chrome/Mozilla 移除信任（有效期至 2029\-12\-31） | |CFCA |CFCA EV ROOT |RSA 2048 |2012 — 2029\-12\-31 |8+ |10.10+ |6.0+ |🔴 不支持 |🟡 用于 OV/EV；Java 不支持 | |CFCA |CFCA GT CA |RSA 2048 |2011 — 2026\-06\-09 |8+ |🔴 不兼容 |🔴 不兼容 |🔴 不支持 |🔴 已到期；iOS 亦不兼容 | ## 根证书升级与吊信时间线下表按时间汇总各品牌根升级与吊信节点，状态以当前日期 **2026\-06\-29** 判断。涉及浏览器吊信的均为公共 TLS 信任策略调整，影响仍挂靠相应旧根的链路；证书中心默认下发的现行链不受影响。 |**时间** |**品牌 / 体系** |**事件** |**状态** | |---|---|---|---| |2023\-03\-08 |DigiCert 系 |默认签发链升级至 G2 / G3 体系 |✅ 已生效 | |2025\-04\-15 |WoTrus / sslTrus 底层根体系 |AAA Certificate Services 旧根在 Chrome/Mozilla 被吊信 |✅ 已生效 | |2025\-05\-12 |DigiCert 旧兼容锚点 |Baltimore CyberTrust Root 已过期 |🔴 已过期 | |2026\-01\-01 |WoTrus / sslTrus 底层根体系 |不再使用旧根 / 旧中间证书链重新签发 |✅ 已生效 | |2026\-02\-01 |WoTrus（沃通） |启用新的根证书与中间证书体系 |✅ 已生效 | |2026\-02 |sslTrus |启用新中间根体系并调整证书链 |✅ 已生效 | |2026\-04\-15 |DigiCert 系 |G1 旧根（Global Root CA、High Assurance EV Root 等）被 Chrome / Firefox 移出信任库 |✅ 已生效 | |2026\-06\-09 |CFCA |CFCA GT CA 根证书到期 |🔴 已过期 | |2026\-07\-27（计划） |GlobalSign / AlphaSSL |签发体系迁移至 R46 / E46 新根 |⏰ 即将到来，以官方公告为准 | |2027\-04\-15（计划） |WoTrus / sslTrus 底层根体系；vTrus |USERTrust RSA / ECC、COMODO RSA / ECC 旧根计划吊信；vTrus 所用 Certum Trusted Network CA 旧根计划被 Chrome/Mozilla 移除信任 |⏰ 即将到来，以官方公告为准 | 本报告中的兼容性版本、有效期与吊信时间表均来自各 CA 官方说明与浏览器根计划公告，并会随官方调整持续更新。对于国密 SM2、沃通/CFCA/vTrus 等品牌的部分细节，请以对应品牌官方最新说明及控制台实际下发的证书链为准。如需进一步确认，可以[提交工单](https://console.volcengine.com/workorder/create?step=1&_vtm_=a106466.b106468.0_0.0_0.0.1524_7641157917156476456)联系我们。