证书颁发机构
Google Trust Services：谷歌 CA 与免费 ACME
详细信息
- CCADB 中的 CA 所有者
- Google Trust Services LLC
- 国家/地区
- US
- 所在国家（CCADB）
- United States of America
- ACME
- 是
- 免费证书
- 是
- 产品
- DV wildcard multi-domain
- 根证书
- 10
- 信任用于 TLS 的根证书数
- Chrome 3 · Mozilla 4 · Apple 5 · Microsoft 10
- 其根证书签发的中间证书
- 43 张（16 张有效）
- 审计机构
- Ernst & Young, LLP
- CAA
pki.goog
Google Trust Services（GTS）是谷歌自己的公开证书颁发机构。它为谷歌的各项服务签发证书，也通过公开的 ACME 接口为任何人免费签发 DV 证书，是 Let's Encrypt 之外的免费选择之一。
所有者与总部
GTS 由谷歌运营，CCADB 中的 CA 所有者是美国实体 Google Trust Services LLC。其官网 pki.goog 介绍说，这项服务建立在谷歌的全球分布式基础设施上。
根证书
截至 2026 年 11 月，CCADB 数据显示 GTS Root R1（RSA 4096）和 GTS Root R4（ECDSA P-384）有效期均为 2016-06-22 到 2036-06-22，被 Chrome、Mozilla、Apple 和微软同时信任用于 TLS。GTS Root R2（RSA）和 R3（ECDSA）仍在 Mozilla、Apple、微软的根存储中，但在 Chrome 根存储中标为已移除。CCADB 还在 GTS 名下列出一张直接叫“GlobalSign”的根证书（ECDSA P-256，有效至 2038-01-19）；另有几份 GTS 根证书的旧交叉签名版本，已被 Apple 和 Mozilla 移除。完整列表见下表。
证书产品
GTS 只签发 DV 证书，支持多域名和通配符，不卖 OV、EV、代码签名或 S/MIME 证书。它签发的证书和其他 CA 的 DV 证书一样，只证明域名控制权，不包含组织信息。
ACME 支持
生产环境的 ACME 地址是 https://dv.acme-v02.api.pki.goog/directory，另有测试环境。任何支持外部账户绑定（EAB）的 ACME 客户端都能用，比如 certbot、acme.sh。做法是在 Google Cloud 项目里启用 Public CA API，申请 EAB 密钥 ID 和 HMAC，然后注册一次即可；谷歌文档说明一个 EAB 密钥只能注册一个 ACME 账户。申请 EAB 要能访问 Google Cloud 控制台或 gcloud 命令行，国内网络环境下操作可能不便，但证书签发和使用本身没有地域限制。
免费证书
pki.goog 明确说明通过 GTS ACME 接口获取的证书免费，网站也不必运行在 Google Cloud 上。很多运维把它作为第二家 CA 做冗余：一家 CA 出故障或触发频率限制时，ACME 客户端可以切换到另一家。
重大事件
我们没有找到涉及 GTS 的重大不信任事件。能看到的变化都是根存储的日常调整：Chrome 根存储移除了 GTS Root R2 和 R3，保留 R1 和 R4；Apple 和 Mozilla 移除了 GTS 根证书的旧交叉签名版本。部署前应确认证书链最终指向客户端信任的根证书，尤其是老旧安卓设备和嵌入式设备。
CAA 记录
CCADB 登记了 2 个被 Google Trust Services 当前有效中间证书认可的 CAA 签发者域名。在域名的 CAA 里用其中任意一个写一条 issue 记录，就允许 Google Trust Services 为它签发证书。包含 CA 名称的域名排在前面，其余按认可它的有效中间证书数量排序。
前 2 个域名对应的记录，可以直接复制：
example.com. CAA 0 issue "pki.goog"
example.com. CAA 0 issue "globalsign.com"| 域名 | 认可它的有效中间证书 |
|---|---|
pki.goog | 12 |
globalsign.com | 2 |
需要 issuewild、iodef 或各家 DNS 服务商的格式，可以用 CAA 记录生成器： CAA 记录生成
根证书（CCADB）
Google Trust Services 在 CCADB TLS 报告里有 10 张根证书，它们一共签发了 43 张中间证书，其中 16 张仍有效。
该 CA 所有者在 CCADB TLS Server Authentication 报告中的根证书，以及在各根存储的当前状态。
- 信任用于 TLS
- 有条件收录（NotBefore / 无 TLS 信任位）
- 已移除或已拉黑
- 未收录
| 根证书 | 密钥 | 到期时间 | Ch | Mo | Ap | MS | 中间证书 |
|---|---|---|---|---|---|---|---|
| GlobalSign | ECDSA P-256 | 2038-01-19 | 已收录 | 已收录 | 已收录 | 已收录 | 11 (4) |
| GlobalSign | ECDSA P-256 | 2038-01-19 | 未收录 | 已移除 | 已移除 | 已收录 | 0 (0) |
| GTS Root R1 | RSA 4096 | 2036-06-22 | 已收录 | 已收录 | 已收录 | 已收录 | 10 (4) |
| GTS Root R1 | RSA 4096 | 2036-06-22 | 未收录 | 已移除 | 已移除 | 已收录 | 0 (0) |
| GTS Root R2 | RSA 4096 | 2036-06-22 | 已移除 | 已收录 | 已收录 | 已收录 | 6 (2) |
| GTS Root R2 | RSA 4096 | 2036-06-22 | 未收录 | 已移除 | 已移除 | 已收录 | 0 (0) |
| GTS Root R3 | ECDSA P-384 | 2036-06-22 | 已移除 | 已收录 | 已收录 | 已收录 | 6 (1) |
| GTS Root R3 | ECDSA P-384 | 2036-06-22 | 未收录 | 已移除 | 已移除 | 已收录 | 0 (0) |
| GTS Root R4 | ECDSA P-384 | 2036-06-22 | 已收录 | 已收录 | 已收录 | 已收录 | 10 (5) |
| GTS Root R4 | ECDSA P-384 | 2036-06-22 | 未收录 | 已移除 | 已移除 | 已收录 | 0 (0) |
Google Trust Services 运营、但挂在其他 CA 根证书下的有效中间证书（CCADB 数据，括号里是有效中间证书数量）：
- GlobalSign nv-sa (2)
审计信息
CCADB 为 Google Trust Services 的 TLS 根证书登记的审计信息。审计机构：Ernst & Young, LLP。最近一次审计期间截至 2025-09-30。
| 审计项目 | 审计标准 | 审计期间 | 报告日期 | 报告 |
|---|---|---|---|---|
| 标准审计 | WebTrust | 2024-10-01 – 2025-09-30 | 2025-10-30 | cpacanada.ca |
| 网络安全审计 | WebTrust | 2024-10-01 – 2025-09-30 | 2025-10-30 | cpacanada.ca |
| TLS 基线要求审计 | WebTrust | 2024-10-01 – 2025-09-30 | 2025-10-30 | cpacanada.ca |
CP/CPS 文档
Google Trust Services 在 CCADB 为其 TLS 根证书登记的证书策略（CP）和认证业务规则（CPS）链接及生效日期：
- CP/CPS: https://pki.goog/repo/cp-cps-tls/6.10/GTS-CP-CPS-TLS.html (2026-10-02 起生效)
- CP/CPS: https://pki.goog/repo/cp-cps-smime/6.7/GTS-CP-CPS-SMIME.html (2026-10-02 起生效)
- 文档库: https://pki.goog/repository
问题上报渠道
要上报错误签发的证书、私钥泄露或证书滥用，请用 Google Trust Services 在 CCADB 登记的渠道（邮箱地址里的 [at]、[dot] 换成 @ 和 .）：
事故记录
加入 Mozilla 根证书计划的 CA 出了合规问题，要在 Mozilla Bugzilla 提交事故报告（产品 CA Program，组件 CA Certificate Compliance）。下面的链接搜索标题里含“Google Trust”这些词的报告：
ACME 目录地址（CCADB）
Google Trust Services 在 CCADB 为其有效证书登记的 DV ACME 目录地址：
https://dv.acme-v02.api.pki.goog/directoryhttps://dv-sxg.acme-v02.api.pki.goog/directory
常见问题
Google Trust Services 的证书对任何网站都免费吗？
通过 ACME 接口申请 DV 证书是免费的。你需要一个 Google Cloud 项目来生成注册 ACME 账户用的 EAB 密钥，但网站本身不必部署在 Google Cloud 上。
允许 Google Trust Services 签发证书的 CAA 记录怎么写？
写一条 example.com. CAA 0 issue "pki.goog" 即可。CCADB 为 Google Trust Services 登记了 2 个认可的域名：pki.goog、globalsign.com。
Google Trust Services 由谁审计？
按 CCADB 记录，审计机构是 Ernst & Young, LLP。最近一次TLS 基线要求审计（WebTrust）覆盖 2024-10-01 至 2025-09-30，报告日期 2025-10-30。
怎么向 Google Trust Services 上报有问题的证书？
用 CCADB 登记的渠道：https://pki.goog/。