证书颁发机构
Apple 与证书：根证书计划，而不是公开 TLS CA
详细信息
- CCADB 中的 CA 所有者
- Apple Inc.
- 国家/地区
- US
- ACME
- 否
- 免费证书
- 否
- 根证书
- 0
- 信任用于 TLS 的根证书数
- Chrome 0 · Mozilla 0 · Apple 0 · Microsoft 0
- CAA
pki.apple.com
Apple 不销售 TLS 证书，它对网站证书的影响来自 Apple 根证书计划：这个计划决定苹果设备信任哪些 CA，Apple 也一直在推动缩短证书有效期。Apple 自己的网站用的是 DigiCert 体系下的中间证书。Safari 报“此连接非私人连接”时，往往与证书链或根证书信任有关。
所有者与总部
Apple Inc. 是总部位于加利福尼亚州库比蒂诺的美国公司，www.apple.com 的 EV 证书上写的就是 Cupertino 和 Apple Inc.。Apple 还为自家产品和服务运营内部 PKI（Apple PKI），相关信息发布在其证书颁发机构网站上。
根证书
截至 2026 年 11 月，CCADB 的 TLS Server Authentication 报告中没有以 Apple 为 CA 所有者的根证书：Apple 在 Web PKI 中没有自己的公开受信任 TLS 根证书。它运营的是“Apple Public EV Server RSA CA 4 - G1”这类由 DigiCert Global Root G2 签发的中间 CA，www.apple.com 用的就是它。在本站其他 CA 页面的表格里，“Apple”一列表示的是 Apple 作为根存储是否信任该根证书。
证书产品
Apple 不向公众销售证书。Apple 自己的 CA 为苹果服务、设备和开发者计划（比如 App 代码签名）签发证书，不为客户网站签发 TLS 证书。
ACME 支持
Apple 没有公开的 ACME 服务。iOS、macOS 上的应用和服务器如果需要证书，同样要向其他 CA 申请。
免费证书
Apple 不为客户网站签发证书，免费的也没有。需要免费证书的网站可以选择 Let's Encrypt、ZeroSSL 等 CA，它们的根证书都被 Apple 平台信任。
重大事件
Apple 的影响力体现在政策上。2019 年 CA/B 论坛把证书有效期限制在约一年的投票 SC-022v2 失败后，Apple 在 2020 年宣布其平台拒绝 2020-09-01 起签发、有效期超过 398 天的 TLS 证书，论坛随后在 SC-031 中采纳了这一规则。2025 年，Apple 根证书计划提出 SC-081v3，把有效期上限在 2029 年前降到 47 天。Apple 发布在 GitHub 上的根证书计划政策，规定了想被苹果设备信任的 CA 必须满足的要求。对有 iPhone、Mac 访客的网站来说，这些决定直接影响这些用户能否正常访问。
CAA 记录
CCADB 登记了 8 个被 Apple 当前有效中间证书认可的 CAA 签发者域名。在域名的 CAA 里用其中任意一个写一条 issue 记录，就允许 Apple 为它签发证书。包含 CA 名称的域名排在前面，其余按认可它的有效中间证书数量排序。
前 3 个域名对应的记录，可以直接复制：
example.com. CAA 0 issue "pki.apple.com"
example.com. CAA 0 issue "affirmtrust.com"
example.com. CAA 0 issue "comodo.com"| 域名 | 认可它的有效中间证书 |
|---|---|
pki.apple.com | 13 |
affirmtrust.com | 4 |
comodo.com | 4 |
comodoca.com | 4 |
entrust.net | 4 |
sectigo.com | 4 |
trust-provider.com | 4 |
usertrust.com | 4 |
需要 issuewild、iodef 或各家 DNS 服务商的格式，可以用 CAA 记录生成器： CAA 记录生成
根证书（CCADB）
CCADB TLS Server Authentication 报告中没有登记在该机构名下的根证书，它签发的证书链到其他 CA 运营的根证书。
Apple 运营、但挂在其他 CA 根证书下的有效中间证书（CCADB 数据，括号里是有效中间证书数量）：
审计信息
CCADB 没有 Apple 的审计记录，因为它在 TLS 报告里没有自己的根证书；它的证书由运营根证书的那家 CA 的审计覆盖。
CP/CPS 文档
CCADB 没有为 Apple 的 TLS 根证书登记 CP/CPS 链接。
问题上报渠道
要上报错误签发的证书、私钥泄露或证书滥用，请用 Apple 在 CCADB 登记的渠道（邮箱地址里的 [at]、[dot] 换成 @ 和 .）：
certification_authority[at]apple[dot]comcontact_pki[at]apple[dot]com
事故记录
加入 Mozilla 根证书计划的 CA 出了合规问题，要在 Mozilla Bugzilla 提交事故报告（产品 CA Program，组件 CA Certificate Compliance）。下面的链接搜索标题里含“Apple”这些词的报告：
常见问题
允许 Apple 签发证书的 CAA 记录怎么写？
写一条 example.com. CAA 0 issue "pki.apple.com" 即可。CCADB 为 Apple 登记了 8 个认可的域名：pki.apple.com、affirmtrust.com、comodo.com、comodoca.com、entrust.net、sectigo.com、trust-provider.com、usertrust.com。
怎么向 Apple 上报有问题的证书？
用 CCADB 登记的渠道：certification_authority[at]apple[dot]com、contact_pki[at]apple[dot]com。
Apple 有多少张根证书？
没有自己的根证书：CCADB TLS 报告里没有登记在 Apple 名下的根证书。它运营的 19 张有效中间证书链到 DigiCert (11)、Sectigo (8) 的根证书。
Apple 的事故报告在哪里看？
在 Mozilla Bugzilla 的 CA Program 产品、CA Certificate Compliance 组件下。按标题搜索“Apple”即可，CA 提交报告时会在标题里写上自己的名字。