# Apple 与证书：根证书计划，而不是公开 TLS CA

> Apple 运营决定 iOS、macOS 信任哪些 CA 的 Apple 根证书计划，但不销售 TLS 证书；其网站使用 DigiCert 体系下的中间证书。

Source: https://ssl.sh/zh/cas/apple/
Last updated: 2026-11-10

Apple 不销售 TLS 证书，它对网站证书的影响来自 Apple 根证书计划：这个计划决定苹果设备信任哪些 CA，Apple 也一直在推动缩短证书有效期。Apple 自己的网站用的是 [DigiCert](https://ssl.sh/zh/cas/digicert/) 体系下的中间证书。Safari 报“此连接非私人连接”时，往往与证书链或根证书信任有关。

## 所有者与总部

Apple Inc. 是总部位于加利福尼亚州库比蒂诺的美国公司，www.apple.com 的 EV 证书上写的就是 Cupertino 和 Apple Inc.。Apple 还为自家产品和服务运营内部 PKI（Apple PKI），相关信息发布在其证书颁发机构网站上。

## 根证书

截至 2026 年 11 月，CCADB 的 TLS Server Authentication 报告中没有以 Apple 为 CA 所有者的根证书：Apple 在 Web PKI 中没有自己的公开受信任 TLS 根证书。它运营的是“Apple Public EV Server RSA CA 4 - G1”这类由 DigiCert Global Root G2 签发的中间 CA，www.apple.com 用的就是它。在本站其他 CA 页面的表格里，“Apple”一列表示的是 Apple 作为根存储是否信任该根证书。

## 证书产品

Apple 不向公众销售证书。Apple 自己的 CA 为苹果服务、设备和开发者计划（比如 App 代码签名）签发证书，不为客户网站签发 TLS 证书。

## ACME 支持

Apple 没有公开的 ACME 服务。iOS、macOS 上的应用和服务器如果需要证书，同样要向其他 CA 申请。

## 免费证书

Apple 不为客户网站签发证书，免费的也没有。需要免费证书的网站可以选择 Let's Encrypt、ZeroSSL 等 CA，它们的根证书都被 Apple 平台信任。

## 重大事件

Apple 的影响力体现在政策上。2019 年 CA/B 论坛把证书有效期限制在约一年的投票 [SC-022v2](https://ssl.sh/zh/ballots/sc-022/) 失败后，Apple 在 2020 年宣布其平台拒绝 2020-09-01 起签发、有效期超过 398 天的 TLS 证书，论坛随后在 [SC-031](https://ssl.sh/zh/ballots/sc-031/) 中采纳了这一规则。2025 年，Apple 根证书计划提出 [SC-081v3](https://ssl.sh/zh/ballots/sc-081/)，把有效期上限在 2029 年前降到 47 天。Apple 发布在 GitHub 上的根证书计划政策，规定了想被苹果设备信任的 CA 必须满足的要求。对有 iPhone、Mac 访客的网站来说，这些决定直接影响这些用户能否正常访问。


## 根证书（CCADB）

CCADB TLS Server Authentication 报告中没有登记在该机构名下的根证书，它签发的证书链到其他 CA 运营的根证书。

Apple 运营、但挂在其他 CA 根证书下的有效中间证书（CCADB 数据，括号里是有效中间证书数量）：

- DigiCert: 11
- Sectigo: 8

## CAA 记录

CCADB 登记了 8 个被 Apple 当前有效中间证书认可的 CAA 签发者域名。在域名的 CAA 里用其中任意一个写一条 issue 记录，就允许 Apple 为它签发证书。包含 CA 名称的域名排在前面，其余按认可它的有效中间证书数量排序。

```
example.com. CAA 0 issue "pki.apple.com"
example.com. CAA 0 issue "affirmtrust.com"
example.com. CAA 0 issue "comodo.com"
```

## 审计信息

CCADB 没有 Apple 的审计记录，因为它在 TLS 报告里没有自己的根证书；它的证书由运营根证书的那家 CA 的审计覆盖。


## CP/CPS 文档

CCADB 没有为 Apple 的 TLS 根证书登记 CP/CPS 链接。


## 问题上报渠道

要上报错误签发的证书、私钥泄露或证书滥用，请用 Apple 在 CCADB 登记的渠道（邮箱地址里的 [at]、[dot] 换成 @ 和 .）：

- certification_authority[at]apple[dot]com
- contact_pki[at]apple[dot]com

## 事故记录

加入 Mozilla 根证书计划的 CA 出了合规问题，要在 Mozilla Bugzilla 提交事故报告（产品 CA Program，组件 CA Certificate Compliance）。下面的链接搜索标题里含“Apple”这些词的报告： https://bugzilla.mozilla.org/buglist.cgi?query_format=advanced&product=CA+Program&component=CA+Certificate+Compliance&short_desc_type=allwords&short_desc=Apple&order=changeddate+DESC

## 常见问题

**允许 Apple 签发证书的 CAA 记录怎么写？**

写一条 example.com. CAA 0 issue "pki.apple.com" 即可。CCADB 为 Apple 登记了 8 个认可的域名：pki.apple.com、affirmtrust.com、comodo.com、comodoca.com、entrust.net、sectigo.com、trust-provider.com、usertrust.com。

**怎么向 Apple 上报有问题的证书？**

用 CCADB 登记的渠道：certification_authority[at]apple[dot]com、contact_pki[at]apple[dot]com。

**Apple 有多少张根证书？**

没有自己的根证书：CCADB TLS 报告里没有登记在 Apple 名下的根证书。它运营的 19 张有效中间证书链到 DigiCert (11)、Sectigo (8) 的根证书。

**Apple 的事故报告在哪里看？**

在 Mozilla Bugzilla 的 CA Program 产品、CA Certificate Compliance 组件下。按标题搜索“Apple”即可，CA 提交报告时会在标题里写上自己的名字。

来源：CCADB 的 All Certificate Information（V5）、List of CAA Identifiers、List of CA problem reporting mechanisms 和 TLS Server Authentication 报告（ccadb.org/resources）。