# GoDaddy：根证书、ACME 与 2025 年新根证书

> GoDaddy 的证书颁发机构：Go Daddy、Starfield G2 根证书，2025 年新建的 TLS 根证书，付费证书的 ACME 支持，以及 Chrome 移除的旧根证书。

Source: https://ssl.sh/zh/cas/godaddy/
Last updated: 2026-11-10

GoDaddy 以域名注册和虚拟主机闻名，同时也运营证书颁发机构。它以 GoDaddy 和 Starfield 名义销售 DV、OV、EV 证书，链到自己的 Go Daddy 和 Starfield 根证书，支持为所售证书使用 ACME，但不提供免费证书。

## 所有者与总部

这家 CA 隶属美国公司 GoDaddy，根证书主题中的地址是亚利桑那州 Scottsdale。Starfield Technologies 是 GoDaddy 旗下品牌，有一套平行的根证书。CCADB 中登记的 CA 所有者是“GoDaddy”。

## 根证书

截至 2026 年 11 月，CCADB 在 GoDaddy 名下列出 6 张根证书。Go Daddy Root Certificate Authority - G2 和 Starfield Root Certificate Authority - G2（RSA 2048，2009–2037 年）被 Chrome、Mozilla、Apple、微软同时信任用于 TLS。两个品牌 2004 年的 Class 2 根证书已被 Chrome 移除，其他根存储仍收录。2025 年 8 月，GoDaddy 新建了两张 RSA 4096 根证书 GoDaddy TLS Root CA - R1 和 Starfield TLS Root CA - R1，有效至 2040 年，目前只有微软收录。另外，Starfield Services Root Certificate Authority - G2 在 CCADB 中登记在 [Amazon Trust Services](https://ssl.sh/zh/cas/amazon/) 名下。

## 证书产品

DV、[OV](https://ssl.sh/zh/glossary/ov-certificate/)、[EV](https://ssl.sh/zh/glossary/ev-certificate/) TLS 证书，提供通配符和多域名（UCC）选项，既单独销售，也和 GoDaddy 主机套餐捆绑。GoDaddy 主机套餐里提供的也是它自己的证书。

## ACME 支持

GoDaddy 帮助中心介绍了其 SSL 证书的 ACME 自动化：在证书管理页面打开 ACME 设置，复制这张证书专属的 EAB 凭据，再填进 certbot 等客户端即可。帮助页面说明，API 代理商客户暂不能使用该功能，也不是所有服务器都支持自动安装。

## 免费证书

GoDaddy 不签发免费证书。Let's Encrypt 的文档指出，GoDaddy 的主机不支持用 ACME 申请 Let's Encrypt 证书，而是付费提供其自有证书的自动续期。如果只需要 DV 证书，又能自己管理服务器，用 acme.sh 申请免费证书是更省钱的选择。

## 重大事件

能看到的变化都在根证书层面：Chrome 已移除 2004 年的 Class 2 根证书，2025 年新建的 R1 根证书还在等待多数根存储收录，在此之前 GoDaddy 证书仍链到 G2 根证书。按 [SC-081v3](https://ssl.sh/zh/ballots/sc-081/)，证书有效期 2026 年降到 200 天、2029 年降到 47 天，不用 ACME 手动续期 GoDaddy 证书会越来越不现实。如果证书部署在 GoDaddy 以外的服务器上（比如国内云服务器），更应该尽早把 EAB 凭据配进 acme.sh 或 certbot，实现自动续期和重载。


## 根证书（CCADB）

GoDaddy 在 CCADB TLS 报告里有 6 张根证书，它们一共签发了 28 张中间证书，其中 22 张仍有效。

| 根证书 | 密钥 | 到期时间 | Chrome | Mozilla | Apple | Microsoft | 中间证书 | SHA-256 |
|---|---|---|---|---|---|---|---|---|
| Go Daddy Class 2 Certification Authority | RSA 2048 | 2034-06-29 | 已移除 | 已收录 | 已收录 | 已收录 | 3 | C3846BF24B9E93CA64274C0EC67C1ECC5E024FFCACD2D74019350E81FE546AE4 |
| Go Daddy Root Certificate Authority - G2 | RSA 2048 | 2037-12-31 | 已收录 | 已收录 | 已收录 | 已收录 | 5 | 45140B3247EB9CC8C5B4F0D7B53091F73292089E6E5A63E2749DD3ACA9198EDA |
| GoDaddy TLS Root CA - R1 | RSA 4096 | 2040-08-24 | 未收录 | 未收录 | 未收录 | 已收录 | 3 | 25CF3DA8E9B97ADDBF92543C2B82527C8A4E2CFF2062A6483040D4B64ACE719F |
| Starfield Class 2 Certification Authority | RSA 2048 | 2034-06-29 | 已移除 | 已收录 | 已收录 | 已收录 | 5 | 1465FA205397B876FAA6F0A9958E5590E40FCC7FAA4FB7C2C8677521FB5FB658 |
| Starfield Root Certificate Authority - G2 | RSA 2048 | 2037-12-31 | 已收录 | 已收录 | 已收录 | 已收录 | 9 | 2CE1CB0BF9D2F9E102993FBE215152C3B2DD0CABDE1C68E5319B839154DBB7F5 |
| Starfield TLS Root CA - R1 | RSA 4096 | 2040-08-23 | 未收录 | 未收录 | 未收录 | 已收录 | 3 | 97366DA00BAF6730A84D1A8CBA5BAD7961C46BCE707E09241CC9C4C7E3C64F10 |

## CAA 记录

CCADB 登记了 2 个被 GoDaddy 当前有效中间证书认可的 CAA 签发者域名。在域名的 CAA 里用其中任意一个写一条 issue 记录，就允许 GoDaddy 为它签发证书。包含 CA 名称的域名排在前面，其余按认可它的有效中间证书数量排序。

```
example.com. CAA 0 issue "godaddy.com"
example.com. CAA 0 issue "starfieldtech.com"
```

## 审计信息

CCADB 为 GoDaddy 的 TLS 根证书登记的审计信息。审计机构：Schellman & Company, LLC.。最近一次审计期间截至 2026-06-30。

- 标准审计: WebTrust 2025-07-01 – 2026-06-30 (https://www.cpacanada.ca/api/getPDFWebTrust?attachmentId=3cc4fe3a-8cb3-414d-af28-31a57a733cca)
- 网络安全审计: WebTrust 2025-07-01 – 2026-06-30 (https://www.cpacanada.ca/api/getPDFWebTrust?attachmentId=1cdbdd7f-2310-46ab-a56f-9ac9ea46296c)
- TLS 基线要求审计: WebTrust 2025-07-01 – 2026-06-30 (https://www.cpacanada.ca/api/getPDFWebTrust?attachmentId=cd37b671-938e-4c9e-be33-233b297aa603)
- TLS EV 指南审计: WebTrust 2025-07-01 – 2026-06-30 (https://www.cpacanada.ca/api/getPDFWebTrust?attachmentId=38c10e0f-7b33-46bc-aea2-9767e9953a4b)

## CP/CPS 文档

GoDaddy 在 CCADB 为其 TLS 根证书登记的证书策略（CP）和认证业务规则（CPS）链接及生效日期：

- Markdown CP/CPS: https://github.com/godaddy/cp-cps/blob/main/cpcps/TLS_CPCPS.md

## 问题上报渠道

要上报错误签发的证书、私钥泄露或证书滥用，请用 GoDaddy 在 CCADB 登记的渠道（邮箱地址里的 [at]、[dot] 换成 @ 和 .）：

- practices[at]starfieldtech[dot]com
- https://certs.godaddy.com/repository
- https://certs.starfieldtech.com/repository

## 事故记录

加入 Mozilla 根证书计划的 CA 出了合规问题，要在 Mozilla Bugzilla 提交事故报告（产品 CA Program，组件 CA Certificate Compliance）。下面的链接搜索标题里含“GoDaddy”这些词的报告： https://bugzilla.mozilla.org/buglist.cgi?query_format=advanced&product=CA+Program&component=CA+Certificate+Compliance&short_desc_type=allwords&short_desc=GoDaddy&order=changeddate+DESC

## 常见问题

**允许 GoDaddy 签发证书的 CAA 记录怎么写？**

写一条 example.com. CAA 0 issue "godaddy.com" 即可。CCADB 为 GoDaddy 登记了 2 个认可的域名：godaddy.com、starfieldtech.com。

**GoDaddy 由谁审计？**

按 CCADB 记录，审计机构是 Schellman & Company, LLC.。最近一次TLS 基线要求审计（WebTrust）覆盖 2025-07-01 至 2026-06-30，报告日期 2026-07-27。

**怎么向 GoDaddy 上报有问题的证书？**

用 CCADB 登记的渠道：practices[at]starfieldtech[dot]com、https://certs.godaddy.com/repository、https://certs.starfieldtech.com/repository。

**GoDaddy 有多少张根证书？**

CCADB TLS 报告里有 6 张。信任用于 TLS 的数量：Chrome 2 张，Mozilla 2 张，Apple 4 张，微软 6 张。它们一共签发了 28 张中间证书，其中 22 张仍有效。

来源：CCADB 的 All Certificate Information（V5）、List of CAA Identifiers、List of CA problem reporting mechanisms 和 TLS Server Authentication 报告（ccadb.org/resources）。