# Certum：波兰 Asseco 旗下 CA、根证书与 ACME

> 波兰 Asseco Data Systems 旗下 CA：根证书、2023 年新根证书、付费证书的 ACME，以及为亚洲诚信新根证书交叉签名。

Source: https://ssl.sh/zh/cas/certum/
Last updated: 2026-11-10

Certum 是波兰 Asseco Data Systems 运营的证书颁发机构，Asseco 是一家软件集团。它销售 DV、OV、EV TLS 证书以及 S/MIME 和代码签名证书，为付费证书提供 ACME；它的老牌根证书 Certum Trusted Network CA 还为[亚洲诚信](https://ssl.sh/zh/cas/trustasia/)的新根证书做了交叉签名，所以国内用户即使没买过 Certum 证书，也可能在证书链里见到它。

## 所有者与总部

CCADB 中的 CA 所有者是波兰公司 Asseco Data Systems S.A.，Certum 官网说明自己隶属 Asseco 集团。较老的 Certum 根证书上还写着 Unizeto Technologies S.A.，这是最初运营 Certum 的公司。

## 根证书

截至 2026 年 11 月，CCADB 的 TLS 报告列出 Certum 的 6 张根证书。其中 4 张被 Chrome、Mozilla、Apple、微软同时信任用于 TLS：Certum Trusted Network CA（RSA 2048，至 2029-12-31）、Certum Trusted Network CA 2（RSA 4096，至 2046 年）、Certum Trusted Root CA（RSA 4096，至 2043 年）和 Certum EC-384 CA（ECDSA P-384，至 2043 年）。2023 年的新根证书 Certum TLS RSA Root CA 和 Certum TLS ECC Root CA（有效至 2048 年）目前只进入了微软根存储。Certum 自己的网站证书链经过 Certum Trusted Root CA，后者由 Certum Trusted Network CA 交叉签名。

## 证书产品

DV、OV、EV TLS 证书，有单域名、多域名、通配符和 IP 地址等类型，以及 S/MIME 邮件证书和代码签名证书，直接销售也通过代理商网络销售。Certum 官网称全球有约 300 家授权代理商，通过代理商购买时，可以先确认是否支持 ACME 自动续期。

## ACME 支持

Certum 支持站点介绍了基于 RFC 8555 的 ACME v2，适用于其商业 SSL 证书。EAB 密钥 ID 和 HMAC 从 Certum 账户的证书详情中获取，ACME 账户与订购该产品的账户绑定。验证方式有 dns-01（也适用于通配符）和 http-01，Certum 不指定特定客户端。

## 免费证书

Certum 不提供免费的公开受信任 TLS 证书。

## 重大事件

我们没有找到近期针对 Certum 的不信任措施。Certum 在其他 CA 的证书体系中也有作用：亚洲诚信自 2026 年初起用新的 TrustAsia TLS RSA Root CA 签发新证书，这张根证书附带 Certum Trusted Network CA 的交叉签名，尚未收录亚洲诚信根证书的客户端也能验证证书链。腾讯云的公告说明，免费证书（通配符除外）主要由亚洲诚信签发，所以使用腾讯云免费证书的网站，证书链里可能会出现 Certum。


## 根证书（CCADB）

Certum 在 CCADB TLS 报告里有 6 张根证书，它们一共签发了 136 张中间证书，其中 115 张仍有效。

| 根证书 | 密钥 | 到期时间 | Chrome | Mozilla | Apple | Microsoft | 中间证书 | SHA-256 |
|---|---|---|---|---|---|---|---|---|
| Certum EC-384 CA | ECDSA P-384 | 2043-03-26 | 已收录 | 已收录 | 已收录 | 已收录 | 14 | 6B328085625318AA50D173C98D8BDA09D57E27413D114CF787A0F5D06C030CF6 |
| Certum TLS ECC Root CA | ECDSA P-384 | 2048-01-26 | 未收录 | 未收录 | 未收录 | 已收录 | 3 | 630CCB83B0180A992495E039D2613C3287A8102F8A8D703DB1330A3E86D4E653 |
| Certum TLS RSA Root CA | RSA 4096 | 2048-01-26 | 未收录 | 未收录 | 未收录 | 已收录 | 21 | ED12A6E9289239D66CA1D244CE90C623AC305AD05602DA352BCFC5FEF2C4458D |
| Certum Trusted Network CA | RSA 2048 | 2029-12-31 | 已收录 | 已收录 | 已收录 | 已收录 | 46 | 5C58468D55F58E497E743982D2B50010B6D165374ACF83A7D4A32DB768C4408E |
| Certum Trusted Network CA 2 | RSA 4096 | 2046-10-06 | 已收录 | 已收录 | 已收录 | 已收录 | 12 | B676F2EDDAE8775CD36CB0F63CD1D4603961F49E6265BA013A2F0307B6D0B804 |
| Certum Trusted Root CA | RSA 4096 | 2043-03-16 | 已收录 | 已收录 | 已收录 | 已收录 | 40 | FE7696573855773E37A95E7AD4D9CC96C30157C15D31765BA9B15704E1AE78FD |

## CAA 记录

CCADB 登记了 2 个被 Certum 当前有效中间证书认可的 CAA 签发者域名。在域名的 CAA 里用其中任意一个写一条 issue 记录，就允许 Certum 为它签发证书。包含 CA 名称的域名排在前面，其余按认可它的有效中间证书数量排序。

```
example.com. CAA 0 issue "certum.eu"
example.com. CAA 0 issue "certum.pl"
```

## 审计信息

CCADB 为 Certum 的 TLS 根证书登记的审计信息。审计机构：Ernst & Young, LLP。最近一次审计期间截至 2026-02-10。

- 标准审计: WebTrust 2025-02-11 – 2026-02-10 (https://www.cpacanada.ca/api/getPDFWebTrust?attachmentId=84a61b66-db2a-4a62-a227-ea3624e52f3e)
- 网络安全审计: WebTrust 2025-02-11 – 2026-02-10 (https://www.cpacanada.ca/api/getPDFWebTrust?attachmentId=55c7a16e-283a-4bf2-8e88-3f716fff5cea)
- TLS 基线要求审计: WebTrust 2025-02-11 – 2026-02-10 (https://www.cpacanada.ca/api/getPDFWebTrust?attachmentId=a23fcf5d-bdb5-45d3-abbb-2b230214f989)
- TLS EV 指南审计: WebTrust 2025-02-11 – 2026-02-10 (https://www.cpacanada.ca/api/getPDFWebTrust?attachmentId=7799eaad-dd3c-489b-9dd1-21c5c1c6046c)

## CP/CPS 文档

Certum 在 CCADB 为其 TLS 根证书登记的证书策略（CP）和认证业务规则（CPS）链接及生效日期：

- CP/CPS: https://repository.certum.pl/cp-cps-tls/Certificate_Policy_and_Certification_Practice_Statement_for_TLS_Certificates_v1.1.0.pdf
- CPS: https://www.files.certum.eu/documents/repo_pl/PL_3_Kodeks_Postep_Cert/Kodeks%20Post%c4%99powania%20Certyfikacyjnego%20Niekwalifikowanych%20Us%c5%82ug%20Certum_v8.5.pdf
- CP: https://www.files.certum.eu/documents/repsitory/2-cert-policy/Certification%20Policy%20of%20CERTUM%20Certification%20Services_v5.3.pdf
- Markdown CP/CPS: https://repository.certum.pl/cp-cps-tls/Certificate_Policy_and_Certification_Practice_Statement_for_TLS_Certificates_v1.1.0.md

## 问题上报渠道

要上报错误签发的证书、私钥泄露或证书滥用，请用 Certum 在 CCADB 登记的渠道（邮箱地址里的 [at]、[dot] 换成 @ 和 .）：

- https://problemreport.certum.pl/

## 事故记录

加入 Mozilla 根证书计划的 CA 出了合规问题，要在 Mozilla Bugzilla 提交事故报告（产品 CA Program，组件 CA Certificate Compliance）。下面的链接搜索标题里含“Certum”这些词的报告： https://bugzilla.mozilla.org/buglist.cgi?query_format=advanced&product=CA+Program&component=CA+Certificate+Compliance&short_desc_type=allwords&short_desc=Certum&order=changeddate+DESC

## 常见问题

**允许 Certum 签发证书的 CAA 记录怎么写？**

写一条 example.com. CAA 0 issue "certum.eu" 即可。CCADB 为 Certum 登记了 2 个认可的域名：certum.eu、certum.pl。

**Certum 由谁审计？**

按 CCADB 记录，审计机构是 Ernst & Young, LLP。最近一次TLS 基线要求审计（WebTrust）覆盖 2025-02-11 至 2026-02-10，报告日期 2026-04-03。

**怎么向 Certum 上报有问题的证书？**

用 CCADB 登记的渠道：https://problemreport.certum.pl/。

**Certum 有多少张根证书？**

CCADB TLS 报告里有 6 张。信任用于 TLS 的数量：Chrome 4 张，Mozilla 4 张，Apple 4 张，微软 6 张。它们一共签发了 136 张中间证书，其中 115 张仍有效。

来源：CCADB 的 All Certificate Information（V5）、List of CAA Identifiers、List of CA problem reporting mechanisms 和 TLS Server Authentication 报告（ccadb.org/resources）。