证书颁发机构
Entrust：被 Chrome 和 Mozilla 停止信任，TLS 业务出售
详细信息
- CCADB 中的 CA 所有者
- Entrust
- 国家/地区
- US
- 所在国家（CCADB）
- United States of America
- ACME
- 否
- 免费证书
- 否
- 根证书
- 4
- 信任用于 TLS 的根证书数
- Chrome 0 · Mozilla 0 · Apple 4 · Microsoft 4
- 其根证书签发的中间证书
- 26 张（0 张有效）
- 审计机构
- Deloitte
- CAA
entrust.net
Entrust 曾是老牌商业证书颁发机构，直到 2024 年底浏览器不再信任它新签发的 TLS 证书。Chrome 不再信任最早 SCT 晚于 2024-11-11 的 Entrust 根证书签发的证书，Mozilla 的截止日是 2024-11-30；2025 年 Entrust 把公开证书业务卖给了 Sectigo。
所有者与总部
Entrust 是一家美国公司，CCADB 中仍有名为“Entrust”的 CA 所有者。出售公开证书业务后，Entrust 自己已不再销售公开受信任的 TLS 证书，所以上方的产品一栏为空。
根证书
截至 2026 年 11 月，CCADB 在 Entrust 名下列出 4 张 AffirmTrust 根证书（Commercial、Networking、Premium、Premium ECC）。Chrome 和 Mozilla 已将其移除，Apple 仍收录，微软标为“NotBefore”，即只信任某个截止日期之前签发的证书。更为人熟知的 Entrust Root Certification Authority、G2、G4、EC1 和 Entrust.net (2048) 等根证书，现在的 CA 所有者是 Sectigo，均已被 Chrome 移除。Entrust 2022 年的新根证书在 CCADB 中只有微软一家收录，且带 NotBefore 限制。
证书产品
Entrust 已没有公开受信任的 TLS 产品，客户被迁移到 Sectigo 平台；Sectigo 于 2025-09-25 宣布迁移完成。
ACME 支持
Entrust 已不再为公开 TLS 证书提供 ACME。原来用 Entrust ACME 的用户，现在从 Sectigo 的证书体系获取证书。
免费证书
Entrust 从未提供免费的公开受信任 TLS 证书。
重大事件
2024-06-27，Google 宣布 Chrome 将不再信任链到 Entrust 根证书、且最早签名证书时间戳（SCT）晚于截止时间的 TLS 证书，截止时间后来定为 2024-11-11 23:59:59 UTC，从 Chrome 131 起执行。Google 给出的理由是多年来一连串合规事故和未兑现的改进承诺。2024-07-31，Mozilla 跟进，设定 2024-11-30 为此后不信任日期。截止日之前签发的证书可以用到自然过期。这个案例说明了根证书计划处置 CA 的方式：用基于 SCT 的截止时间保护现有网站，而不是一夜之间全部移除。当时通过代理商购买 Entrust 证书的用户，续期时都需要改用其他 CA 的证书；如果你的服务器、CDN 或负载均衡上还留着链到 Entrust 根证书的证书，即使尚未过期，也应尽快检查并替换，避免 Chrome、Firefox 用户访问报错。可对比 2026 年的 eMudhra 事件和根证书计划变更时间线。
CAA 记录
CCADB 登记了 2 个被 Entrust 当前有效中间证书认可的 CAA 签发者域名。在域名的 CAA 里用其中任意一个写一条 issue 记录，就允许 Entrust 为它签发证书。包含 CA 名称的域名排在前面，其余按认可它的有效中间证书数量排序。
前 2 个域名对应的记录，可以直接复制：
example.com. CAA 0 issue "entrust.net"
example.com. CAA 0 issue "affirmtrust.com"| 域名 | 认可它的有效中间证书 |
|---|---|
entrust.net | 7 |
affirmtrust.com | 7 |
需要 issuewild、iodef 或各家 DNS 服务商的格式，可以用 CAA 记录生成器： CAA 记录生成
根证书（CCADB）
Entrust 在 CCADB TLS 报告里有 4 张根证书，它们一共签发了 26 张中间证书，其中 0 张仍有效。
该 CA 所有者在 CCADB TLS Server Authentication 报告中的根证书，以及在各根存储的当前状态。
- 信任用于 TLS
- 有条件收录（NotBefore / 无 TLS 信任位）
- 已移除或已拉黑
- 未收录
| 根证书 | 密钥 | 到期时间 | Ch | Mo | Ap | MS | 中间证书 |
|---|---|---|---|---|---|---|---|
| AffirmTrust Commercial | RSA 2048 | 2030-12-31 | 已移除 | 已移除 | 已收录 | 已收录（NotBefore 截止） | 10 (0) |
| AffirmTrust Networking | RSA 2048 | 2030-12-31 | 已移除 | 已移除 | 已收录 | 已收录（NotBefore 截止） | 7 (0) |
| AffirmTrust Premium | RSA 4096 | 2040-12-31 | 已移除 | 已移除 | 已收录 | 已收录（NotBefore 截止） | 5 (0) |
| AffirmTrust Premium ECC | ECDSA P-384 | 2040-12-31 | 已移除 | 已移除 | 已收录 | 已收录（NotBefore 截止） | 4 (0) |
审计信息
CCADB 为 Entrust 的 TLS 根证书登记的审计信息。审计机构：Deloitte。最近一次审计期间截至 2025-02-28。
| 审计项目 | 审计标准 | 审计期间 | 报告日期 | 报告 |
|---|---|---|---|---|
| 标准审计 | WebTrust | 2024-03-01 – 2025-02-28 | 2025-06-27 | cpacanada.ca |
| 网络安全审计 | WebTrust | 2024-03-01 – 2025-02-28 | 2025-06-27 | cpacanada.ca |
| TLS 基线要求审计 | WebTrust | 2024-03-01 – 2025-02-28 | 2025-06-27 | cpacanada.ca |
| TLS EV 指南审计 | WebTrust | 2024-03-01 – 2025-02-28 | 2025-06-27 | cpacanada.ca |
CP/CPS 文档
Entrust 在 CCADB 为其 TLS 根证书登记的证书策略（CP）和认证业务规则（CPS）链接及生效日期：
问题上报渠道
要上报错误签发的证书、私钥泄露或证书滥用，请用 Entrust 在 CCADB 登记的渠道（邮箱地址里的 [at]、[dot] 换成 @ 和 .）：
- https://www.entrust.com/support/certificate-solutions/report-a-problem
problemreport[at]entrust[dot]comabuse[at]affirmtrust[dot]com
事故记录
加入 Mozilla 根证书计划的 CA 出了合规问题，要在 Mozilla Bugzilla 提交事故报告（产品 CA Program，组件 CA Certificate Compliance）。下面的链接搜索标题里含“Entrust”这些词的报告：
常见问题
我的网站还在用 Entrust 证书，会出问题吗？
只有在截止日之后签发的才会被拒：Chrome 不信任最早 SCT 晚于 2024-11-11 的 Entrust 根证书签发的证书，Mozilla 不信任 2024-11-30 之后签发的。更早的证书按 398 天上限现在也都已过期，所以仍链到 Entrust 根证书的证书都应该更换。
允许 Entrust 签发证书的 CAA 记录怎么写？
写一条 example.com. CAA 0 issue "entrust.net" 即可。CCADB 为 Entrust 登记了 2 个认可的域名：entrust.net、affirmtrust.com。
Entrust 由谁审计？
按 CCADB 记录，审计机构是 Deloitte。最近一次TLS 基线要求审计（WebTrust）覆盖 2024-03-01 至 2025-02-28，报告日期 2025-06-27。
怎么向 Entrust 上报有问题的证书？
用 CCADB 登记的渠道：https://www.entrust.com/support/certificate-solutions/report-a-problem、problemreport[at]entrust[dot]com、abuse[at]affirmtrust[dot]com。