# GlobalSign：比利时起家的日资 CA、根证书与 ACME

> GlobalSign 1996 年创立于比利时，现属日本 GMO 集团：R3、R5、R6、R46、E46 根证书，付费 ACME，以及 Chrome 移除 Root CA R1。

Source: https://ssl.sh/zh/cas/globalsign/
Last updated: 2026-11-10

GlobalSign 是最早的公开证书颁发机构之一，1996 年在比利时创立，现属日本 GMO 互联网集团。它销售 DV、OV、EV 证书以及 S/MIME、代码签名、文档签名证书，在付费企业平台上支持 ACME，没有免费 TLS 证书。国内用户对它的 AlphaSSL 品牌比较熟悉，很多代理商和云厂商也代理 GlobalSign 的 OV、EV 证书。

## 所有者与总部

GlobalSign NV 于 1996 年在比利时成立。按 GMO GlobalSign Holdings 的公司沿革，它在 2006 年 10 月成为 GMO 集团的子公司。各运营公司都以 GMO GlobalSign 为名，CCADB 中登记的 CA 所有者是比利时实体“GlobalSign nv-sa”。

## 根证书

截至 2026 年 11 月，CCADB 的 TLS 报告列出 GlobalSign 的 6 张根证书。其中 5 张被 Chrome、Mozilla、Apple、微软同时信任用于 TLS：3 张通用名就叫“GlobalSign”的根证书（R3，RSA 2048，有效至 2029-03-18；R5，ECDSA P-384，至 2038-01-19；R6，RSA 4096，至 2034-12-10），以及较新的 GlobalSign Root R46（RSA 4096）和 E46（ECDSA P-384），有效至 2046-03-20。第 6 张是 1998 年的 GlobalSign Root CA，已不在 Chrome 根存储中。另外，CCADB 把一张原属 GlobalSign 的 ECC 根证书登记在 [Google Trust Services](https://ssl.sh/zh/cas/google-trust-services/) 名下，名字同样叫“GlobalSign”。

## 证书产品

DV（含 AlphaSSL 品牌）、OV、EV TLS 证书及通配符、多域名版本，S/MIME、代码签名、文档签名、用于 BIMI 的 VMC 标志证书，以及托管私有 PKI，通过 Atlas 平台和代理商销售。

## ACME 支持

GlobalSign 通过 Atlas 平台为付费证书提供 ACME，标准 ACME 客户端可以凭账户凭据申请和续期，没有面向公众的匿名 ACME 接口。随着证书有效期在 2026 到 2029 年间逐步缩短到 47 天，企业用户如果仍手动续期 GlobalSign 证书，工作量会成倍增加，值得尽早接入 ACME。

## 免费证书

GlobalSign 不提供免费的公开受信任 TLS 证书。

## 重大事件

近年最主要的变化发生在根存储：Chrome 已移除 1998 年的 GlobalSign Root CA（R1），它本身也将于 2028-01-28 到期；而较新的 R46、E46 根证书已被四大根存储信任。如果你的证书链仍止于 GlobalSign Root CA，应向 GlobalSign 或代理商索取链到当前根证书的版本，让 Chrome 用户能构建出受信任的路径。部署前可以用证书链检查工具确认服务器发送的是哪条链，尤其是在 CDN、负载均衡等需要手动上传证书链的地方。


## 根证书（CCADB）

GlobalSign 在 CCADB TLS 报告里有 6 张根证书，它们一共签发了 568 张中间证书，其中 237 张仍有效。

| 根证书 | 密钥 | 到期时间 | Chrome | Mozilla | Apple | Microsoft | 中间证书 | SHA-256 |
|---|---|---|---|---|---|---|---|---|
| GlobalSign | RSA 2048 | 2029-03-18 | 已收录 | 已收录 | 已收录 | 已收录 | 216 | CBB522D7B7F127AD6A0113865BDF1CD4102E7D0759AF635A7CF4720DC963C53B |
| GlobalSign | ECDSA P-384 | 2038-01-19 | 已收录 | 已收录 | 已收录 | 已收录 | 93 | 179FBC148A3DD00FD24EA13458CC43BFA7F59C8182D783A513F6EBEC100C8924 |
| GlobalSign | RSA 4096 | 2034-12-10 | 已收录 | 已收录 | 已收录 | 已收录 | 60 | 2CABEAFE37D06CA22ABA7391C0033D25982952C453647349763A3AB5AD6CCF69 |
| GlobalSign Root CA | RSA 2048 | 2028-01-28 | 已移除 | 已收录 | 已收录 | 已收录 | 73 | EBD41040E4BB3EC742C9E381D31EF2A41A48B6685C96E7CEF3C1DF6CD4331C99 |
| GlobalSign Root E46 | ECDSA P-384 | 2046-03-20 | 已收录 | 已收录 | 已收录 | 已收录 | 52 | CBB9C44D84B8043E1050EA31A69F514955D7BFD2E2C6B49301019AD61D9F5058 |
| GlobalSign Root R46 | RSA 4096 | 2046-03-20 | 已收录 | 已收录 | 已收录 | 已收录 | 74 | 4FA3126D8D3A11D1C4855A4F807CBAD6CF919D3A5A88B03BEA2C6372D93C40C9 |

## CAA 记录

CCADB 登记了 1 个被 GlobalSign 当前有效中间证书认可的 CAA 签发者域名。在域名的 CAA 里用其中任意一个写一条 issue 记录，就允许 GlobalSign 为它签发证书。包含 CA 名称的域名排在前面，其余按认可它的有效中间证书数量排序。

```
example.com. CAA 0 issue "globalsign.com"
```

## 审计信息

CCADB 为 GlobalSign 的 TLS 根证书登记的审计信息。审计机构：KPMG。最近一次审计期间截至 2026-03-31。

- 标准审计: WebTrust 2025-04-01 – 2026-03-31 (https://www.cpacanada.ca/api/getPDFWebTrust?attachmentId=bbae26a8-947d-40ab-8879-4b9454874bd7)
- 网络安全审计: WebTrust 2025-04-01 – 2026-03-31 (https://www.cpacanada.ca/api/getPDFWebTrust?attachmentId=9a2e997e-6fe0-41ba-aeef-6c3bc5404409)
- TLS 基线要求审计: WebTrust 2025-04-01 – 2026-03-31 (https://www.cpacanada.ca/api/getPDFWebTrust?attachmentId=04c52423-fae9-4bff-a02e-cb9f608939b6)
- TLS EV 指南审计: WebTrust 2025-04-01 – 2026-03-31 (https://www.cpacanada.ca/api/getPDFWebTrust?attachmentId=6523d9f3-41f8-481a-becb-3d71f9e85897)

## CP/CPS 文档

GlobalSign 在 CCADB 为其 TLS 根证书登记的证书策略（CP）和认证业务规则（CPS）链接及生效日期：

- CP/CPS: https://www.globalsign.com/en/repository/GlobalSign-Generic-CPCPS-v1.1.pdf
- CP/CPS: https://www.globalsign.com/en/repository/GlobalSign-eIDAS-CPCPS-v1.1.pdf

## 问题上报渠道

要上报错误签发的证书、私钥泄露或证书滥用，请用 GlobalSign 在 CCADB 登记的渠道（邮箱地址里的 [at]、[dot] 换成 @ 和 .）：

- report-abuse[at]globalsign[dot]com

## 事故记录

加入 Mozilla 根证书计划的 CA 出了合规问题，要在 Mozilla Bugzilla 提交事故报告（产品 CA Program，组件 CA Certificate Compliance）。下面的链接搜索标题里含“GlobalSign”这些词的报告： https://bugzilla.mozilla.org/buglist.cgi?query_format=advanced&product=CA+Program&component=CA+Certificate+Compliance&short_desc_type=allwords&short_desc=GlobalSign&order=changeddate+DESC

## 常见问题

**允许 GlobalSign 签发证书的 CAA 记录怎么写？**

写一条 example.com. CAA 0 issue "globalsign.com" 即可。CCADB 为 GlobalSign 登记了 1 个认可的域名：globalsign.com。

**GlobalSign 由谁审计？**

按 CCADB 记录，审计机构是 KPMG。最近一次TLS 基线要求审计（WebTrust）覆盖 2025-04-01 至 2026-03-31，报告日期 2026-06-29。

**怎么向 GlobalSign 上报有问题的证书？**

用 CCADB 登记的渠道：report-abuse[at]globalsign[dot]com。

**GlobalSign 有多少张根证书？**

CCADB TLS 报告里有 6 张。信任用于 TLS 的数量：Chrome 5 张，Mozilla 5 张，Apple 6 张，微软 6 张。它们一共签发了 568 张中间证书，其中 237 张仍有效。

来源：CCADB 的 All Certificate Information（V5）、List of CAA Identifiers、List of CA problem reporting mechanisms 和 TLS Server Authentication 报告（ccadb.org/resources）。