EN

证书颁发机构

DigiCert：根证书、旗下品牌、ACME 与 2024 年大规模吊销

最后核实

详细信息

CCADB 中的 CA 所有者
DigiCert
国家/地区
US
所在国家（CCADB）
United States of America
ACME
是
免费证书
否
产品
DV OV EV wildcard multi-domain S/MIME code-signing document-signing VMC private-PKI
根证书
20
信任用于 TLS 的根证书数
Chrome 9 · Mozilla 7 · Apple 15 · Microsoft 20
其根证书签发的中间证书
821 张（518 张有效）
审计机构
BDO International Limited
CAA
digicert.com

DigiCert 是一家主要的商业证书颁发机构，GeoTrust、Thawte、RapidSSL 这几个国内代理商常卖的品牌都属于它。它提供 DV、OV、EV 证书，以及 S/MIME、代码签名、文档签名和 VMC 标志证书，支持 ACME 自动化，但没有免费证书。

所有者与总部

DigiCert 成立于 2003 年，总部位于美国犹他州 Lehi。官网历史页面列出两次重要收购：2017 年在浏览器不再信任赛门铁克根证书之后，收购了赛门铁克的网站安全业务；2019 年收购了欧盟和瑞士的合格信任服务提供商 QuoVadis。2017 年的交易于 2017-10-31 完成，GeoTrust、Thawte、RapidSSL 品牌由此归入 DigiCert。

根证书

截至 2026 年 11 月，CCADB 在 DigiCert 名下列出 20 张根证书，是所有 CA 所有者中最多的。被 Chrome、Mozilla、Apple、微软同时信任用于 TLS 的有 DigiCert Global Root G2 和 G3、Assured ID Root G2 和 G3、TLS RSA4096 Root G5、TLS ECC P384 Root G5，以及 QuoVadis Root CA 2 G3。Chrome 已移除 2006 年的老根证书（DigiCert Global Root CA、Assured ID Root CA、High Assurance EV Root CA）和几张 QuoVadis 根证书，其他根存储仍收录它们。QuoVadis TLS G4 等新根证书目前只进入了微软根存储。很多其他签发方也链到 DigiCert Global Root G2：比如国内的亚洲诚信（TrustAsia）在 2026 年 1 月切换到自有根证书之前，签发的证书就链到它。

证书产品

产品线完整：DV、OV、EV TLS 证书及通配符、多域名版本，S/MIME、代码签名、文档签名、用于 BIMI 的 VMC，以及通过 DigiCert ONE 和 CertCentral 提供的私有 PKI。国内用户通常通过代理商或云厂商购买 DigiCert 及其旗下品牌的证书。

ACME 支持

DigiCert 通过 CertCentral 平台为付费证书提供 ACME，使用与账户绑定的 EAB 凭据，certbot、acme.sh 等标准客户端都能用。

免费证书

DigiCert 不提供免费的公开受信任 TLS 证书。

重大事件

2024 年 7 月底，DigiCert 报告称，由于 2019 年的一次系统改动，部分使用 CNAME 记录的域名验证中，随机值缺少规定的下划线前缀（Bugzilla 1910322）。它吊销了 83,267 张受影响的证书；由于部分客户无法在 24 小时内换证，吊销到 2024-08-03 才完成，DigiCert 为此另报了一起延迟吊销事件（Bugzilla 1910805）。此后，CA/B 论坛通过 SC-089 要求每家 CA 都要有经过演练的大规模吊销预案。

CAA 记录

CCADB 登记了 22 个被 DigiCert 当前有效中间证书认可的 CAA 签发者域名。在域名的 CAA 里用其中任意一个写一条 issue 记录，就允许 DigiCert 为它签发证书。包含 CA 名称的域名排在前面，其余按认可它的有效中间证书数量排序。

前 3 个域名对应的记录，可以直接复制：

example.com. CAA 0 issue "digicert.com"
example.com. CAA 0 issue "digicert.ne.jp"
example.com. CAA 0 issue "www.digicert.com"
域名认可它的有效中间证书
digicert.com590
digicert.ne.jp582
www.digicert.com582
amazon.com598
amazonaws.com598
amazontrust.com598
awstrust.com598
digitalcertvalidation.com582
geotrust.com582
quovadisglobal.com582
rapidssl.com582
symantec.com582
thawte.com582
1and1.digitalcertvalidation.com582
cybertrust.ne.jp582
intermediatecertificate.digitalcertvalidation.com582
stratossl.digitalcertvalidation.com582
volusion.digitalcertvalidation.com582
amazonaws.eu16
amazontrustservices.eu16
amznts.eu16
aws.amazon.com16

需要 issuewild、iodef 或各家 DNS 服务商的格式，可以用 CAA 记录生成器： CAA 记录生成

根证书（CCADB）

DigiCert 在 CCADB TLS 报告里有 20 张根证书，它们一共签发了 821 张中间证书，其中 518 张仍有效。

该 CA 所有者在 CCADB TLS Server Authentication 报告中的根证书，以及在各根存储的当前状态。

  • 信任用于 TLS
  • 有条件收录（NotBefore / 无 TLS 信任位）
  • 已移除或已拉黑
  • 未收录
根证书 密钥 到期时间 ChMoApMS中间证书
DigiCert Assured ID Root CA RSA 2048 2031-11-10 已移除已收录已收录已收录64 (28)
DigiCert Assured ID Root G2 RSA 2048 2038-01-15 已收录已收录已收录已收录163 (139)
DigiCert Assured ID Root G3 ECDSA P-384 2038-01-15 已收录已收录已收录已收录6 (6)
DigiCert ECC P384 Root G5 ECDSA P-384 2046-01-14 未收录未收录未收录已收录2 (2)
DigiCert Global Root CA RSA 2048 2031-11-10 已移除已收录已收录已收录70 (53)
DigiCert Global Root G2 RSA 2048 2038-01-15 已收录已收录已收录已收录100 (57)
DigiCert Global Root G3 ECDSA P-384 2038-01-15 已收录已收录已收录已收录79 (41)
DigiCert High Assurance EV Root CA RSA 2048 2031-11-10 已移除已收录已收录已收录94 (65)
DigiCert RSA4096 Root G5 RSA 4096 2046-01-14 未收录未收录未收录已收录2 (2)
DigiCert TLS ECC P384 Root G5 ECDSA P-384 2046-01-14 已收录已收录已收录已收录20 (20)
DigiCert TLS RSA4096 Root G5 RSA 4096 2046-01-14 已收录已收录已收录已收录21 (20)
DigiCert Trusted Root G4 RSA 4096 2038-01-15 已收录已收录已收录已收录32 (32)
QuoVadis Root CA 1 G3 RSA 4096 2042-01-12 已移除已收录已收录已收录51 (36)
QuoVadis Root CA 2 RSA 4096 2031-11-24 已移除已收录已收录已收录32 (2)
QuoVadis Root CA 2 G3 RSA 4096 2042-01-12 已收录已收录已收录已收录30 (9)
QuoVadis Root CA 3 RSA 4096 2031-11-24 已移除已收录已收录已收录35 (2)
QuoVadis Root CA 3 G3 RSA 4096 2042-01-12 已收录已收录已收录已收录11 (1)
QuoVadis TLS ECC P384 Root G4 ECDSA P-384 2048-03-09 未收录未收录未收录已收录2 (1)
QuoVadis TLS RSA 4096 Root G4 RSA 4096 2048-03-09 未收录未收录未收录已收录1 (1)
Verizon Global Root CA RSA 2048 2034-07-30 未收录未收录未收录已收录6 (1)

DigiCert 运营、但挂在其他 CA 根证书下的有效中间证书（CCADB 数据，括号里是有效中间证书数量）：

审计信息

CCADB 为 DigiCert 的 TLS 根证书登记的审计信息。审计机构：BDO International Limited。最近一次审计期间截至 2025-08-31。

审计项目审计标准审计期间报告日期报告
标准审计WebTrust2024-09-01 – 2025-08-312025-11-21 cpacanada.ca
网络安全审计WebTrust2024-09-01 – 2025-08-312025-11-21 cpacanada.ca
TLS 基线要求审计WebTrust2024-09-01 – 2025-08-312025-11-21 cpacanada.ca
TLS EV 指南审计WebTrust2024-09-01 – 2025-08-312025-11-21 cpacanada.ca

CP/CPS 文档

DigiCert 在 CCADB 为其 TLS 根证书登记的证书策略（CP）和认证业务规则（CPS）链接及生效日期：

问题上报渠道

要上报错误签发的证书、私钥泄露或证书滥用，请用 DigiCert 在 CCADB 登记的渠道（邮箱地址里的 [at]、[dot] 换成 @ 和 .）：

  • revoke[at]digicert[dot]com

事故记录

加入 Mozilla 根证书计划的 CA 出了合规问题，要在 Mozilla Bugzilla 提交事故报告（产品 CA Program，组件 CA Certificate Compliance）。下面的链接搜索标题里含“DigiCert”这些词的报告：

Bugzilla：标题含“DigiCert”的事故报告

常见问题

GeoTrust、Thawte、RapidSSL 是独立的 CA 吗？

不是。它们都是 DigiCert 的品牌，由 DigiCert 运营的证书体系签发，CCADB 中没有为它们单独登记 CA 所有者。

允许 DigiCert 签发证书的 CAA 记录怎么写？

写一条 example.com. CAA 0 issue "digicert.com" 即可。CCADB 为 DigiCert 登记了 22 个认可的域名：digicert.com、digicert.ne.jp、www.digicert.com、amazon.com、amazonaws.com、amazontrust.com、awstrust.com、digitalcertvalidation.com…。

DigiCert 由谁审计？

按 CCADB 记录，审计机构是 BDO International Limited。最近一次TLS 基线要求审计（WebTrust）覆盖 2024-09-01 至 2025-08-31，报告日期 2025-11-21。

怎么向 DigiCert 上报有问题的证书？

用 CCADB 登记的渠道：revoke[at]digicert[dot]com。

资料来源

  1. DigiCert：History of Innovation
  2. Mozilla Bugzilla 1910322：DigiCert: Random value in CNAME without underscore prefix
  3. Mozilla Bugzilla 1910805：DigiCert: Delayed revocation of 1910322
  4. CCADB Resources（根存储报告）