# Google Trust Services：谷歌 CA 与免费 ACME

> 谷歌的公开 CA：GTS Root R1–R4 根证书，通过 ACME 免费签发 DV 证书（需 Google Cloud 的 EAB 密钥），网站不必部署在 Google Cloud 上。

Source: https://ssl.sh/zh/cas/google-trust-services/
Last updated: 2026-11-10

Google Trust Services（GTS）是谷歌自己的公开证书颁发机构。它为谷歌的各项服务签发证书，也通过公开的 [ACME](https://ssl.sh/zh/glossary/acme/) 接口为任何人免费签发 DV 证书，是 [Let's Encrypt](https://ssl.sh/zh/cas/lets-encrypt/) 之外的免费选择之一。

## 所有者与总部

GTS 由谷歌运营，CCADB 中的 CA 所有者是美国实体 Google Trust Services LLC。其官网 pki.goog 介绍说，这项服务建立在谷歌的全球分布式基础设施上。

## 根证书

截至 2026 年 11 月，CCADB 数据显示 GTS Root R1（RSA 4096）和 GTS Root R4（ECDSA P-384）有效期均为 2016-06-22 到 2036-06-22，被 Chrome、Mozilla、Apple 和微软同时信任用于 TLS。GTS Root R2（RSA）和 R3（ECDSA）仍在 Mozilla、Apple、微软的根存储中，但在 Chrome 根存储中标为已移除。CCADB 还在 GTS 名下列出一张直接叫“GlobalSign”的根证书（ECDSA P-256，有效至 2038-01-19）；另有几份 GTS 根证书的旧交叉签名版本，已被 Apple 和 Mozilla 移除。完整列表见下表。

## 证书产品

GTS 只签发 DV 证书，支持多域名和[通配符](https://ssl.sh/zh/glossary/wildcard-certificate/)，不卖 OV、EV、代码签名或 S/MIME 证书。它签发的证书和其他 CA 的 DV 证书一样，只证明域名控制权，不包含组织信息。

## ACME 支持

生产环境的 ACME 地址是 `https://dv.acme-v02.api.pki.goog/directory`，另有测试环境。任何支持外部账户绑定（EAB）的 ACME 客户端都能用，比如 certbot、acme.sh。做法是在 Google Cloud 项目里启用 Public CA API，申请 EAB 密钥 ID 和 HMAC，然后注册一次即可；谷歌文档说明一个 EAB 密钥只能注册一个 ACME 账户。申请 EAB 要能访问 Google Cloud 控制台或 gcloud 命令行，国内网络环境下操作可能不便，但证书签发和使用本身没有地域限制。

## 免费证书

pki.goog 明确说明通过 GTS ACME 接口获取的证书免费，网站也不必运行在 Google Cloud 上。很多运维把它作为第二家 CA 做冗余：一家 CA 出故障或触发频率限制时，ACME 客户端可以切换到另一家。

## 重大事件

我们没有找到涉及 GTS 的重大不信任事件。能看到的变化都是根存储的日常调整：Chrome 根存储移除了 GTS Root R2 和 R3，保留 R1 和 R4；Apple 和 Mozilla 移除了 GTS 根证书的旧交叉签名版本。部署前应确认证书链最终指向客户端信任的根证书，尤其是老旧安卓设备和嵌入式设备。


## 根证书（CCADB）

Google Trust Services 在 CCADB TLS 报告里有 10 张根证书，它们一共签发了 43 张中间证书，其中 16 张仍有效。

| 根证书 | 密钥 | 到期时间 | Chrome | Mozilla | Apple | Microsoft | 中间证书 | SHA-256 |
|---|---|---|---|---|---|---|---|---|
| GlobalSign | ECDSA P-256 | 2038-01-19 | 已收录 | 已收录 | 已收录 | 已收录 | 11 | B085D70B964F191A73E4AF0D54AE7A0E07AAFDAF9B71DD0862138AB7325A24A2 |
| GlobalSign | ECDSA P-256 | 2038-01-19 | 未收录 | 已移除 | 已移除 | 已收录 | 0 | BEC94911C2955676DB6C0A550986D76E3BA005667C442C9762B4FBB773DE228C |
| GTS Root R1 | RSA 4096 | 2036-06-22 | 已收录 | 已收录 | 已收录 | 已收录 | 10 | D947432ABDE7B7FA90FC2E6B59101B1280E0E1C7E4E40FA3C6887FFF57A7F4CF |
| GTS Root R1 | RSA 4096 | 2036-06-22 | 未收录 | 已移除 | 已移除 | 已收录 | 0 | 2A575471E31340BC21581CBD2CF13E158463203ECE94BCF9D3CC196BF09A5472 |
| GTS Root R2 | RSA 4096 | 2036-06-22 | 已移除 | 已收录 | 已收录 | 已收录 | 6 | 8D25CD97229DBF70356BDA4EB3CC734031E24CF00FAFCFD32DC76EB5841C7EA8 |
| GTS Root R2 | RSA 4096 | 2036-06-22 | 未收录 | 已移除 | 已移除 | 已收录 | 0 | C45D7BB08E6D67E62E4235110B564E5F78FD92EF058C840AEA4E6455D7585C60 |
| GTS Root R3 | ECDSA P-384 | 2036-06-22 | 已移除 | 已收录 | 已收录 | 已收录 | 6 | 34D8A73EE208D9BCDB0D956520934B4E40E69482596E8B6F73C8426B010A6F48 |
| GTS Root R3 | ECDSA P-384 | 2036-06-22 | 未收录 | 已移除 | 已移除 | 已收录 | 0 | 15D5B8774619EA7D54CE1CA6D0B0C403E037A917F131E8A04E1E6B7A71BABCE5 |
| GTS Root R4 | ECDSA P-384 | 2036-06-22 | 已收录 | 已收录 | 已收录 | 已收录 | 10 | 349DFA4058C5E263123B398AE795573C4E1313C83FE68F93556CD5E8031B3C7D |
| GTS Root R4 | ECDSA P-384 | 2036-06-22 | 未收录 | 已移除 | 已移除 | 已收录 | 0 | 71CCA5391F9E794B04802530B363E121DA8A3043BB26662FEA4DCA7FC951A4BD |

Google Trust Services 运营、但挂在其他 CA 根证书下的有效中间证书（CCADB 数据，括号里是有效中间证书数量）：

- GlobalSign nv-sa: 2

## CAA 记录

CCADB 登记了 2 个被 Google Trust Services 当前有效中间证书认可的 CAA 签发者域名。在域名的 CAA 里用其中任意一个写一条 issue 记录，就允许 Google Trust Services 为它签发证书。包含 CA 名称的域名排在前面，其余按认可它的有效中间证书数量排序。

```
example.com. CAA 0 issue "pki.goog"
example.com. CAA 0 issue "globalsign.com"
```

## 审计信息

CCADB 为 Google Trust Services 的 TLS 根证书登记的审计信息。审计机构：Ernst & Young, LLP。最近一次审计期间截至 2025-09-30。

- 标准审计: WebTrust 2024-10-01 – 2025-09-30 (https://www.cpacanada.ca/api/getPDFWebTrust?attachmentId=3d439f62-5004-417d-a604-5449422449f2)
- 网络安全审计: WebTrust 2024-10-01 – 2025-09-30 (https://www.cpacanada.ca/api/getPDFWebTrust?attachmentId=0f344b54-25d0-4f70-abb8-df17cba953f7)
- TLS 基线要求审计: WebTrust 2024-10-01 – 2025-09-30 (https://www.cpacanada.ca/api/getPDFWebTrust?attachmentId=c3086bc5-d09f-4071-b9d5-b9fc8b478d77)

## CP/CPS 文档

Google Trust Services 在 CCADB 为其 TLS 根证书登记的证书策略（CP）和认证业务规则（CPS）链接及生效日期：

- CP/CPS: https://pki.goog/repo/cp-cps-tls/6.10/GTS-CP-CPS-TLS.html
- CP/CPS: https://pki.goog/repo/cp-cps-smime/6.7/GTS-CP-CPS-SMIME.html

## 问题上报渠道

要上报错误签发的证书、私钥泄露或证书滥用，请用 Google Trust Services 在 CCADB 登记的渠道（邮箱地址里的 [at]、[dot] 换成 @ 和 .）：

- https://pki.goog/

## 事故记录

加入 Mozilla 根证书计划的 CA 出了合规问题，要在 Mozilla Bugzilla 提交事故报告（产品 CA Program，组件 CA Certificate Compliance）。下面的链接搜索标题里含“Google Trust”这些词的报告： https://bugzilla.mozilla.org/buglist.cgi?query_format=advanced&product=CA+Program&component=CA+Certificate+Compliance&short_desc_type=allwords&short_desc=Google+Trust&order=changeddate+DESC

## 常见问题

**Google Trust Services 的证书对任何网站都免费吗？**

通过 ACME 接口申请 DV 证书是免费的。你需要一个 Google Cloud 项目来生成注册 ACME 账户用的 EAB 密钥，但网站本身不必部署在 Google Cloud 上。

**允许 Google Trust Services 签发证书的 CAA 记录怎么写？**

写一条 example.com. CAA 0 issue "pki.goog" 即可。CCADB 为 Google Trust Services 登记了 2 个认可的域名：pki.goog、globalsign.com。

**Google Trust Services 由谁审计？**

按 CCADB 记录，审计机构是 Ernst & Young, LLP。最近一次TLS 基线要求审计（WebTrust）覆盖 2024-10-01 至 2025-09-30，报告日期 2025-10-30。

**怎么向 Google Trust Services 上报有问题的证书？**

用 CCADB 登记的渠道：https://pki.goog/。

来源：CCADB 的 All Certificate Information（V5）、List of CAA Identifiers、List of CA problem reporting mechanisms 和 TLS Server Authentication 报告（ccadb.org/resources）。