# Entrust：被 Chrome 和 Mozilla 停止信任，TLS 业务出售

> 2024 年 11 月 Chrome、Mozilla 为何不再信任新签发的 Entrust TLS 证书，其根证书去向，以及公开证书业务如何转给 Sectigo。

Source: https://ssl.sh/zh/cas/entrust/
Last updated: 2026-11-10

Entrust 曾是老牌商业证书颁发机构，直到 2024 年底浏览器不再信任它新签发的 TLS 证书。Chrome 不再信任最早 SCT 晚于 2024-11-11 的 Entrust 根证书签发的证书，Mozilla 的截止日是 2024-11-30；2025 年 Entrust 把公开证书业务卖给了 [Sectigo](https://ssl.sh/zh/cas/sectigo/)。

## 所有者与总部

Entrust 是一家美国公司，CCADB 中仍有名为“Entrust”的 CA 所有者。出售公开证书业务后，Entrust 自己已不再销售公开受信任的 TLS 证书，所以上方的产品一栏为空。

## 根证书

截至 2026 年 11 月，CCADB 在 Entrust 名下列出 4 张 AffirmTrust 根证书（Commercial、Networking、Premium、Premium ECC）。Chrome 和 Mozilla 已将其移除，Apple 仍收录，微软标为“NotBefore”，即只信任某个截止日期之前签发的证书。更为人熟知的 Entrust Root Certification Authority、G2、G4、EC1 和 Entrust.net (2048) 等根证书，现在的 CA 所有者是 Sectigo，均已被 Chrome 移除。Entrust 2022 年的新根证书在 CCADB 中只有微软一家收录，且带 NotBefore 限制。

## 证书产品

Entrust 已没有公开受信任的 TLS 产品，客户被迁移到 Sectigo 平台；Sectigo 于 2025-09-25 宣布迁移完成。

## ACME 支持

Entrust 已不再为公开 TLS 证书提供 ACME。原来用 Entrust ACME 的用户，现在从 Sectigo 的证书体系获取证书。

## 免费证书

Entrust 从未提供免费的公开受信任 TLS 证书。

## 重大事件

2024-06-27，Google 宣布 Chrome 将不再信任链到 Entrust 根证书、且最早签名证书时间戳（[SCT](https://ssl.sh/zh/glossary/sct/)）晚于截止时间的 TLS 证书，截止时间后来定为 2024-11-11 23:59:59 UTC，从 Chrome 131 起执行。Google 给出的理由是多年来一连串合规事故和未兑现的改进承诺。2024-07-31，Mozilla 跟进，设定 2024-11-30 为此后不信任日期。截止日之前签发的证书可以用到自然过期。这个案例说明了根证书计划处置 CA 的方式：用基于 SCT 的截止时间保护现有网站，而不是一夜之间全部移除。当时通过代理商购买 Entrust 证书的用户，续期时都需要改用其他 CA 的证书；如果你的服务器、CDN 或负载均衡上还留着链到 Entrust 根证书的证书，即使尚未过期，也应尽快检查并替换，避免 Chrome、Firefox 用户访问报错。可对比 2026 年的 [eMudhra](https://ssl.sh/zh/cas/emudhra/) 事件和[根证书计划变更时间线](https://ssl.sh/zh/timeline/root-program-changes/)。


## 根证书（CCADB）

Entrust 在 CCADB TLS 报告里有 4 张根证书，它们一共签发了 26 张中间证书，其中 0 张仍有效。

| 根证书 | 密钥 | 到期时间 | Chrome | Mozilla | Apple | Microsoft | 中间证书 | SHA-256 |
|---|---|---|---|---|---|---|---|---|
| AffirmTrust Commercial | RSA 2048 | 2030-12-31 | 已移除 | 已移除 | 已收录 | 已收录（NotBefore 截止） | 10 | 0376AB1D54C5F9803CE4B2E201A0EE7EEF7B57B636E8A93C9B8D4860C96F5FA7 |
| AffirmTrust Networking | RSA 2048 | 2030-12-31 | 已移除 | 已移除 | 已收录 | 已收录（NotBefore 截止） | 7 | 0A81EC5A929777F145904AF38D5D509F66B5E2C58FCDB531058B0E17F3F0B41B |
| AffirmTrust Premium | RSA 4096 | 2040-12-31 | 已移除 | 已移除 | 已收录 | 已收录（NotBefore 截止） | 5 | 70A73F7F376B60074248904534B11482D5BF0E698ECC498DF52577EBF2E93B9A |
| AffirmTrust Premium ECC | ECDSA P-384 | 2040-12-31 | 已移除 | 已移除 | 已收录 | 已收录（NotBefore 截止） | 4 | BD71FDF6DA97E4CF62D1647ADD2581B07D79ADF8397EB4ECBA9C5E8488821423 |

## CAA 记录

CCADB 登记了 2 个被 Entrust 当前有效中间证书认可的 CAA 签发者域名。在域名的 CAA 里用其中任意一个写一条 issue 记录，就允许 Entrust 为它签发证书。包含 CA 名称的域名排在前面，其余按认可它的有效中间证书数量排序。

```
example.com. CAA 0 issue "entrust.net"
example.com. CAA 0 issue "affirmtrust.com"
```

## 审计信息

CCADB 为 Entrust 的 TLS 根证书登记的审计信息。审计机构：Deloitte。最近一次审计期间截至 2025-02-28。

- 标准审计: WebTrust 2024-03-01 – 2025-02-28 (https://www.cpacanada.ca/api/getPDFWebTrust?attachmentId=41bda44f-1b8d-4076-8d97-c82aea8a06b8)
- 网络安全审计: WebTrust 2024-03-01 – 2025-02-28 (https://www.cpacanada.ca/api/getPDFWebTrust?attachmentId=0b305e35-0835-4d73-91f7-ad229c1e07d6)
- TLS 基线要求审计: WebTrust 2024-03-01 – 2025-02-28 (https://www.cpacanada.ca/api/getPDFWebTrust?attachmentId=782660e0-335b-499e-b72d-08e5cef77dde)
- TLS EV 指南审计: WebTrust 2024-03-01 – 2025-02-28 (https://www.cpacanada.ca/api/getPDFWebTrust?attachmentId=982f2cb8-0ada-44f3-8622-6a1bcf4d3ed3)

## CP/CPS 文档

Entrust 在 CCADB 为其 TLS 根证书登记的证书策略（CP）和认证业务规则（CPS）链接及生效日期：

- CPS: https://www.entrust.com/sites/default/files/documentation/licensingandagreements/ecs/affirmtrust-ssl-cps-3-18.pdf

## 问题上报渠道

要上报错误签发的证书、私钥泄露或证书滥用，请用 Entrust 在 CCADB 登记的渠道（邮箱地址里的 [at]、[dot] 换成 @ 和 .）：

- https://www.entrust.com/support/certificate-solutions/report-a-problem
- problemreport[at]entrust[dot]com
- abuse[at]affirmtrust[dot]com

## 事故记录

加入 Mozilla 根证书计划的 CA 出了合规问题，要在 Mozilla Bugzilla 提交事故报告（产品 CA Program，组件 CA Certificate Compliance）。下面的链接搜索标题里含“Entrust”这些词的报告： https://bugzilla.mozilla.org/buglist.cgi?query_format=advanced&product=CA+Program&component=CA+Certificate+Compliance&short_desc_type=allwords&short_desc=Entrust&order=changeddate+DESC

## 常见问题

**我的网站还在用 Entrust 证书，会出问题吗？**

只有在截止日之后签发的才会被拒：Chrome 不信任最早 SCT 晚于 2024-11-11 的 Entrust 根证书签发的证书，Mozilla 不信任 2024-11-30 之后签发的。更早的证书按 398 天上限现在也都已过期，所以仍链到 Entrust 根证书的证书都应该更换。

**允许 Entrust 签发证书的 CAA 记录怎么写？**

写一条 example.com. CAA 0 issue "entrust.net" 即可。CCADB 为 Entrust 登记了 2 个认可的域名：entrust.net、affirmtrust.com。

**Entrust 由谁审计？**

按 CCADB 记录，审计机构是 Deloitte。最近一次TLS 基线要求审计（WebTrust）覆盖 2024-03-01 至 2025-02-28，报告日期 2025-06-27。

**怎么向 Entrust 上报有问题的证书？**

用 CCADB 登记的渠道：https://www.entrust.com/support/certificate-solutions/report-a-problem、problemreport[at]entrust[dot]com、abuse[at]affirmtrust[dot]com。

来源：CCADB 的 All Certificate Information（V5）、List of CAA Identifiers、List of CA problem reporting mechanisms 和 TLS Server Authentication 报告（ccadb.org/resources）。