# DigiCert：根证书、旗下品牌、ACME 与 2024 年大规模吊销 > 美国商业 CA，旗下有 GeoTrust、Thawte、RapidSSL：根证书、付费 ACME，以及 2024 年吊销 83,267 张证书事件。 Source: https://ssl.sh/zh/cas/digicert/ Last updated: 2026-11-10 DigiCert 是一家主要的商业证书颁发机构，GeoTrust、Thawte、RapidSSL 这几个国内代理商常卖的品牌都属于它。它提供 DV、OV、EV 证书，以及 S/MIME、代码签名、文档签名和 VMC 标志证书，支持 ACME 自动化，但没有免费证书。 ## 所有者与总部 DigiCert 成立于 2003 年，总部位于美国犹他州 Lehi。官网历史页面列出两次重要收购：2017 年在浏览器不再信任赛门铁克根证书之后，收购了赛门铁克的网站安全业务；2019 年收购了欧盟和瑞士的合格信任服务提供商 QuoVadis。2017 年的交易于 2017-10-31 完成，GeoTrust、Thawte、RapidSSL 品牌由此归入 DigiCert。 ## 根证书 截至 2026 年 11 月，CCADB 在 DigiCert 名下列出 20 张根证书，是所有 CA 所有者中最多的。被 Chrome、Mozilla、Apple、微软同时信任用于 TLS 的有 DigiCert Global Root G2 和 G3、Assured ID Root G2 和 G3、TLS RSA4096 Root G5、TLS ECC P384 Root G5，以及 QuoVadis Root CA 2 G3。Chrome 已移除 2006 年的老根证书（DigiCert Global Root CA、Assured ID Root CA、High Assurance EV Root CA）和几张 QuoVadis 根证书，其他根存储仍收录它们。QuoVadis TLS G4 等新根证书目前只进入了微软根存储。很多其他签发方也链到 DigiCert Global Root G2：比如国内的亚洲诚信（TrustAsia）在 2026 年 1 月切换到自有根证书之前，签发的证书就链到它。 ## 证书产品 产品线完整：[DV](https://ssl.sh/zh/glossary/dv-certificate/)、[OV](https://ssl.sh/zh/glossary/ov-certificate/)、[EV](https://ssl.sh/zh/glossary/ev-certificate/) TLS 证书及通配符、多域名版本，S/MIME、代码签名、文档签名、用于 BIMI 的 [VMC](https://ssl.sh/zh/glossary/vmc/)，以及通过 DigiCert ONE 和 CertCentral 提供的私有 PKI。国内用户通常通过代理商或云厂商购买 DigiCert 及其旗下品牌的证书。 ## ACME 支持 DigiCert 通过 CertCentral 平台为付费证书提供 ACME，使用与账户绑定的 EAB 凭据，certbot、acme.sh 等标准客户端都能用。 ## 免费证书 DigiCert 不提供免费的公开受信任 TLS 证书。 ## 重大事件 2024 年 7 月底，DigiCert 报告称，由于 2019 年的一次系统改动，部分使用 CNAME 记录的域名验证中，随机值缺少规定的下划线前缀（Bugzilla 1910322）。它吊销了 83,267 张受影响的证书；由于部分客户无法在 24 小时内换证，吊销到 2024-08-03 才完成，DigiCert 为此另报了一起延迟吊销事件（Bugzilla 1910805）。此后，CA/B 论坛通过 [SC-089](https://ssl.sh/zh/ballots/sc-089/) 要求每家 CA 都要有经过演练的大规模吊销预案。 ## 根证书（CCADB） DigiCert 在 CCADB TLS 报告里有 20 张根证书，它们一共签发了 821 张中间证书，其中 518 张仍有效。 | 根证书 | 密钥 | 到期时间 | Chrome | Mozilla | Apple | Microsoft | 中间证书 | SHA-256 | |---|---|---|---|---|---|---|---|---| | DigiCert Assured ID Root CA | RSA 2048 | 2031-11-10 | 已移除 | 已收录 | 已收录 | 已收录 | 64 | 3E9099B5015E8F486C00BCEA9D111EE721FABA355A89BCF1DF69561E3DC6325C | | DigiCert Assured ID Root G2 | RSA 2048 | 2038-01-15 | 已收录 | 已收录 | 已收录 | 已收录 | 163 | 7D05EBB682339F8C9451EE094EEBFEFA7953A114EDB2F44949452FAB7D2FC185 | | DigiCert Assured ID Root G3 | ECDSA P-384 | 2038-01-15 | 已收录 | 已收录 | 已收录 | 已收录 | 6 | 7E37CB8B4C47090CAB36551BA6F45DB840680FBA166A952DB100717F43053FC2 | | DigiCert ECC P384 Root G5 | ECDSA P-384 | 2046-01-14 | 未收录 | 未收录 | 未收录 | 已收录 | 2 | C1468CF2254E6004B24696ABA209D1A30BA6E2DFF68A9A4E32C6AB414F90C8D9 | | DigiCert Global Root CA | RSA 2048 | 2031-11-10 | 已移除 | 已收录 | 已收录 | 已收录 | 70 | 4348A0E9444C78CB265E058D5E8944B4D84F9662BD26DB257F8934A443C70161 | | DigiCert Global Root G2 | RSA 2048 | 2038-01-15 | 已收录 | 已收录 | 已收录 | 已收录 | 100 | CB3CCBB76031E5E0138F8DD39A23F9DE47FFC35E43C1144CEA27D46A5AB1CB5F | | DigiCert Global Root G3 | ECDSA P-384 | 2038-01-15 | 已收录 | 已收录 | 已收录 | 已收录 | 79 | 31AD6648F8104138C738F39EA4320133393E3A18CC02296EF97C2AC9EF6731D0 | | DigiCert High Assurance EV Root CA | RSA 2048 | 2031-11-10 | 已移除 | 已收录 | 已收录 | 已收录 | 94 | 7431E5F4C3C1CE4690774F0B61E05440883BA9A01ED00BA6ABD7806ED3B118CF | | DigiCert RSA4096 Root G5 | RSA 4096 | 2046-01-14 | 未收录 | 未收录 | 未收录 | 已收录 | 2 | E46A392204A8DCA342A71C1CA9A60C9185B9A930370120C3B9C7E3856F0D8F3B | | DigiCert TLS ECC P384 Root G5 | ECDSA P-384 | 2046-01-14 | 已收录 | 已收录 | 已收录 | 已收录 | 20 | 018E13F0772532CF809BD1B17281867283FC48C6E13BE9C69812854A490C1B05 | | DigiCert TLS RSA4096 Root G5 | RSA 4096 | 2046-01-14 | 已收录 | 已收录 | 已收录 | 已收录 | 21 | 371A00DC0533B3721A7EEB40E8419E70799D2B0A0F2C1D80693165F7CEC4AD75 | | DigiCert Trusted Root G4 | RSA 4096 | 2038-01-15 | 已收录 | 已收录 | 已收录 | 已收录 | 32 | 552F7BDCF1A7AF9E6CE672017F4F12ABF77240C78E761AC203D1D9D20AC89988 | | QuoVadis Root CA 1 G3 | RSA 4096 | 2042-01-12 | 已移除 | 已收录 | 已收录 | 已收录 | 51 | 8A866FD1B276B57E578E921C65828A2BED58E9F2F288054134B7F1F4BFC9CC74 | | QuoVadis Root CA 2 | RSA 4096 | 2031-11-24 | 已移除 | 已收录 | 已收录 | 已收录 | 32 | 85A0DD7DD720ADB7FF05F83D542B209DC7FF4528F7D677B18389FEA5E5C49E86 | | QuoVadis Root CA 2 G3 | RSA 4096 | 2042-01-12 | 已收录 | 已收录 | 已收录 | 已收录 | 30 | 8FE4FB0AF93A4D0D67DB0BEBB23E37C71BF325DCBCDD240EA04DAF58B47E1840 | | QuoVadis Root CA 3 | RSA 4096 | 2031-11-24 | 已移除 | 已收录 | 已收录 | 已收录 | 35 | 18F1FC7F205DF8ADDDEB7FE007DD57E3AF375A9C4D8D73546BF4F1FED1E18D35 | | QuoVadis Root CA 3 G3 | RSA 4096 | 2042-01-12 | 已收录 | 已收录 | 已收录 | 已收录 | 11 | 88EF81DE202EB018452E43F864725CEA5FBD1FC2D9D205730709C5D8B8690F46 | | QuoVadis TLS ECC P384 Root G4 | ECDSA P-384 | 2048-03-09 | 未收录 | 未收录 | 未收录 | 已收录 | 2 | 6E1FD3AE0D2D477C8F5EE5F335CC5B6356872654E5356A73D8C0A30A17C252A2 | | QuoVadis TLS RSA 4096 Root G4 | RSA 4096 | 2048-03-09 | 未收录 | 未收录 | 未收录 | 已收录 | 1 | C8A2D38A24F5AC302D8A08EBD38923D9A750B49220F092E82D1C53249E1533D0 | | Verizon Global Root CA | RSA 2048 | 2034-07-30 | 未收录 | 未收录 | 未收录 | 已收录 | 6 | 68AD50909B04363C605EF13581A939FF2C96372E3F12325B0A6861E1D59F6603 | DigiCert 运营、但挂在其他 CA 根证书下的有效中间证书（CCADB 数据，括号里是有效中间证书数量）： - Amazon Trust Services: 16 ## CAA 记录 CCADB 登记了 22 个被 DigiCert 当前有效中间证书认可的 CAA 签发者域名。在域名的 CAA 里用其中任意一个写一条 issue 记录，就允许 DigiCert 为它签发证书。包含 CA 名称的域名排在前面，其余按认可它的有效中间证书数量排序。 ``` example.com. CAA 0 issue "digicert.com" example.com. CAA 0 issue "digicert.ne.jp" example.com. CAA 0 issue "www.digicert.com" ``` ## 审计信息 CCADB 为 DigiCert 的 TLS 根证书登记的审计信息。审计机构：BDO International Limited。最近一次审计期间截至 2025-08-31。 - 标准审计: WebTrust 2024-09-01 – 2025-08-31 (https://www.cpacanada.ca/api/getPDFWebTrust?attachmentId=d960de8d-58e1-49cd-b021-b81d840df468) - 网络安全审计: WebTrust 2024-09-01 – 2025-08-31 (https://www.cpacanada.ca/api/getPDFWebTrust?attachmentId=2089114f-2403-404e-9861-bcfc60426e0f) - TLS 基线要求审计: WebTrust 2024-09-01 – 2025-08-31 (https://www.cpacanada.ca/api/getPDFWebTrust?attachmentId=bf97e8d2-eb5b-4702-9635-a1e8fffb0903) - TLS EV 指南审计: WebTrust 2024-09-01 – 2025-08-31 (https://www.cpacanada.ca/api/getPDFWebTrust?attachmentId=f9260ceb-c627-473c-b934-7a2da4f8930b) ## CP/CPS 文档 DigiCert 在 CCADB 为其 TLS 根证书登记的证书策略（CP）和认证业务规则（CPS）链接及生效日期： - CP/CPS: https://www.digicert.com/content/dam/digicert/pdfs/legal/digicert-public-trust-cp-cps-v7-09.pdf - CP/CPS: https://www.digicert.com/content/dam/digicert/pdfs/legal/digicert-europe-cpcps-v6-11.pdf ## 问题上报渠道 要上报错误签发的证书、私钥泄露或证书滥用，请用 DigiCert 在 CCADB 登记的渠道（邮箱地址里的 [at]、[dot] 换成 @ 和 .）： - revoke[at]digicert[dot]com ## 事故记录 加入 Mozilla 根证书计划的 CA 出了合规问题，要在 Mozilla Bugzilla 提交事故报告（产品 CA Program，组件 CA Certificate Compliance）。下面的链接搜索标题里含“DigiCert”这些词的报告： https://bugzilla.mozilla.org/buglist.cgi?query_format=advanced&product=CA+Program&component=CA+Certificate+Compliance&short_desc_type=allwords&short_desc=DigiCert&order=changeddate+DESC ## 常见问题 **GeoTrust、Thawte、RapidSSL 是独立的 CA 吗？** 不是。它们都是 DigiCert 的品牌，由 DigiCert 运营的证书体系签发，CCADB 中没有为它们单独登记 CA 所有者。 **允许 DigiCert 签发证书的 CAA 记录怎么写？** 写一条 example.com. CAA 0 issue "digicert.com" 即可。CCADB 为 DigiCert 登记了 22 个认可的域名：digicert.com、digicert.ne.jp、www.digicert.com、amazon.com、amazonaws.com、amazontrust.com、awstrust.com、digitalcertvalidation.com…。 **DigiCert 由谁审计？** 按 CCADB 记录，审计机构是 BDO International Limited。最近一次TLS 基线要求审计（WebTrust）覆盖 2024-09-01 至 2025-08-31，报告日期 2025-11-21。 **怎么向 DigiCert 上报有问题的证书？** 用 CCADB 登记的渠道：revoke[at]digicert[dot]com。 来源：CCADB 的 All Certificate Information（V5）、List of CAA Identifiers、List of CA problem reporting mechanisms 和 TLS Server Authentication 报告（ccadb.org/resources）。