数据
证书颁发机构（CA）
浏览器信任的证书是谁签发的：18 家主流 CA 的根证书、ACME 支持、免费方案和重大事件，以及 CCADB 中其他所有 CA 所有者的数据页。
CA 签发的证书要被浏览器信任，它的根证书必须被收录进根存储，例如 Chrome 根证书计划或 Mozilla 根证书计划。下面的简介说明每家主流 CA 归谁所有、运营哪些根证书、能否用 ACME 自动签发（acme.sh、certbot、宝塔面板都基于 ACME），以及历史上出过什么问题。再往下的表格列出了 CCADB 中其他所有拥有 TLS 根证书的机构。
CA 简介
-
Actalis
Actalis 是意大利 Aruba 集团旗下、总部米兰的 CA：Authentication Root CA 和 2025 年新根证书，免费套餐可通过 ACME 无限量签发 90 天 DV 证书。
-
Amazon Trust Services
AWS Certificate Manager 背后的 CA：Amazon Root CA 1–4，AWS 服务免费证书，可导出证书，以及 2026 年推出的 ACME。
-
Apple
Apple 运营决定 iOS、macOS 信任哪些 CA 的 Apple 根证书计划，但不销售 TLS 证书；其网站使用 DigiCert 体系下的中间证书。
-
Buypass
Buypass 是推出免费 ACME 服务 Buypass Go SSL 的挪威 CA，2025 年 10 月停止签发 TLS 证书，最后一批证书已于 2026 年 10 月到期。
-
Certum
波兰 Asseco Data Systems 旗下 CA：根证书、2023 年新根证书、付费证书的 ACME，以及为亚洲诚信新根证书交叉签名。
-
DigiCert
美国商业 CA，旗下有 GeoTrust、Thawte、RapidSSL：根证书、付费 ACME，以及 2024 年吊销 83,267 张证书事件。
-
eMudhra
eMudhra 的 emSign CA：2026 年 10 月 8 个子 CA 私钥泄露，Chrome 移除 ECC Root CA - G3，并对 Root CA - G1 设定截止日期。
-
Entrust
2024 年 11 月 Chrome、Mozilla 为何不再信任新签发的 Entrust TLS 证书，其根证书去向，以及公开证书业务如何转给 Sectigo。
-
GlobalSign
GlobalSign 1996 年创立于比利时，现属日本 GMO 集团：R3、R5、R6、R46、E46 根证书，付费 ACME，以及 Chrome 移除 Root CA R1。
-
GoDaddy
GoDaddy 的证书颁发机构：Go Daddy、Starfield G2 根证书，2025 年新建的 TLS 根证书，付费证书的 ACME 支持，以及 Chrome 移除的旧根证书。
-
Google Trust Services
谷歌的公开 CA：GTS Root R1–R4 根证书，通过 ACME 免费签发 DV 证书（需 Google Cloud 的 EAB 密钥），网站不必部署在 Google Cloud 上。
-
HARICA
希腊高校的 CA：2021 年根证书、被 Chrome 移除的 2015 根证书、ACME 支持，以及 2025 年起为 GÉANT TCS 签发证书。
-
Let's Encrypt
Let's Encrypt 是非营利组织 ISRG 运营的免费 ACME CA：根证书、DV 证书，以及 2025–2026 年 OCSP、到期邮件、客户端认证的变化。
-
微软 Microsoft
微软既运营根存储（微软受信任根证书计划），也为微软和 Azure 服务运营自己的公开 PKI；它不对外销售 TLS 证书。
-
Sectigo
Sectigo 即原 Comodo CA：USERTrust 和 R46/E46 根证书、2025 年接手的 Entrust 根证书、付费 ACME、ZeroSSL 的签发方及历史事件。
-
SSL.com
SSL.com 2002 年成立于美国休斯顿：根证书、原 Trustwave 根证书、ACME 免费 90 天 DV 证书，以及 2025 年 aliyun.com 误签事件。
-
TrustAsia 亚洲诚信
亚洲诚信是总部上海的 CA：2024 年根证书被 Chrome 和 Mozilla 收录，2026 年从 DigiCert 证书链切换到自有根证书，腾讯云免费证书主要由它签发。
-
ZeroSSL
ZeroSSL 是奥地利的证书品牌，DV 证书链到 Sectigo 根证书；通过 ACME 可无限量免费签发 90 天证书，也是 acme.sh 的默认 CA。
CCADB 中的其他 CA 所有者
至少拥有一张被主流根存储信任用于 TLS 的根证书的机构。根存储列表示该根存储信任用于 TLS 的根证书数量。
Ch = Chrome，Mo = Mozilla，Ap = Apple，MS = 微软。
下载数据
- /data/pki/cas.json — 按 CA 所有者汇总的根证书
- /data/pki/roots.json — 全部根证书：指纹、密钥、日期和各根存储状态
常见问题
根证书数据从哪里来？
来自通用 CA 数据库（CCADB）的公开报告，Apple、Google Chrome、微软和 Mozilla 都用它管理各自的根证书计划。ssl.sh 用 uv run sslsh pki fetch 更新数据，每页都标注了最后更新日期。
哪些 CA 可以通过 ACME 免费签发 TLS 证书？
截至 2026 年 11 月，Let's Encrypt、ZeroSSL、Google Trust Services、SSL.com 和 Actalis 等 CA 提供通过 ACME 签发的免费证书，具体条件见各家简介。