# 证书颁发机构（CA）大全：简介、根证书与收录状态

> 18 家主流 CA 的简介，以及 CCADB 中所有拥有 TLS 根证书的机构：根证书、ACME 支持、免费证书和重大事件。

Source: https://ssl.sh/zh/cas/
Last updated: 2026-11-10

CA 签发的证书要被浏览器信任，它的根证书必须被收录进根存储，例如 [Chrome 根证书计划](https://g.co/chrome/root-policy)或 [Mozilla 根证书计划](https://www.mozilla.org/en-US/about/governance/policies/security-group/certs/policy/)。下面的简介说明每家主流 CA 归谁所有、运营哪些根证书、能否用 [ACME](https://ssl.sh/zh/glossary/acme/) 自动签发（acme.sh、certbot、宝塔面板都基于 ACME），以及历史上出过什么问题。再往下的表格列出了 CCADB 中其他所有拥有 TLS 根证书的机构。

另见完整的[根证书列表](/zh/roots/)和规定 CA 必须遵守哪些规则的 [CA/B 论坛投票](/zh/ballots/)。


## CA 简介

- [Actalis](/zh/cas/actalis/): Actalis 是意大利 Aruba 集团旗下、总部米兰的 CA：Authentication Root CA 和 2025 年新根证书，免费套餐可通过 ACME 无限量签发 90 天 DV 证书。
- [Amazon Trust Services](/zh/cas/amazon/): AWS Certificate Manager 背后的 CA：Amazon Root CA 1–4，AWS 服务免费证书，可导出证书，以及 2026 年推出的 ACME。
- [Apple](/zh/cas/apple/): Apple 运营决定 iOS、macOS 信任哪些 CA 的 Apple 根证书计划，但不销售 TLS 证书；其网站使用 DigiCert 体系下的中间证书。
- [Buypass](/zh/cas/buypass/): Buypass 是推出免费 ACME 服务 Buypass Go SSL 的挪威 CA，2025 年 10 月停止签发 TLS 证书，最后一批证书已于 2026 年 10 月到期。
- [Certum](/zh/cas/certum/): 波兰 Asseco Data Systems 旗下 CA：根证书、2023 年新根证书、付费证书的 ACME，以及为亚洲诚信新根证书交叉签名。
- [DigiCert](/zh/cas/digicert/): 美国商业 CA，旗下有 GeoTrust、Thawte、RapidSSL：根证书、付费 ACME，以及 2024 年吊销 83,267 张证书事件。
- [eMudhra](/zh/cas/emudhra/): eMudhra 的 emSign CA：2026 年 10 月 8 个子 CA 私钥泄露，Chrome 移除 ECC Root CA - G3，并对 Root CA - G1 设定截止日期。
- [Entrust](/zh/cas/entrust/): 2024 年 11 月 Chrome、Mozilla 为何不再信任新签发的 Entrust TLS 证书，其根证书去向，以及公开证书业务如何转给 Sectigo。
- [GlobalSign](/zh/cas/globalsign/): GlobalSign 1996 年创立于比利时，现属日本 GMO 集团：R3、R5、R6、R46、E46 根证书，付费 ACME，以及 Chrome 移除 Root CA R1。
- [GoDaddy](/zh/cas/godaddy/): GoDaddy 的证书颁发机构：Go Daddy、Starfield G2 根证书，2025 年新建的 TLS 根证书，付费证书的 ACME 支持，以及 Chrome 移除的旧根证书。
- [Google Trust Services](/zh/cas/google-trust-services/): 谷歌的公开 CA：GTS Root R1–R4 根证书，通过 ACME 免费签发 DV 证书（需 Google Cloud 的 EAB 密钥），网站不必部署在 Google Cloud 上。
- [HARICA](/zh/cas/harica/): 希腊高校的 CA：2021 年根证书、被 Chrome 移除的 2015 根证书、ACME 支持，以及 2025 年起为 GÉANT TCS 签发证书。
- [Let's Encrypt](/zh/cas/lets-encrypt/): Let's Encrypt 是非营利组织 ISRG 运营的免费 ACME CA：根证书、DV 证书，以及 2025–2026 年 OCSP、到期邮件、客户端认证的变化。
- [微软 Microsoft](/zh/cas/microsoft/): 微软既运营根存储（微软受信任根证书计划），也为微软和 Azure 服务运营自己的公开 PKI；它不对外销售 TLS 证书。
- [Sectigo](/zh/cas/sectigo/): Sectigo 即原 Comodo CA：USERTrust 和 R46/E46 根证书、2025 年接手的 Entrust 根证书、付费 ACME、ZeroSSL 的签发方及历史事件。
- [SSL.com](/zh/cas/ssl-com/): SSL.com 2002 年成立于美国休斯顿：根证书、原 Trustwave 根证书、ACME 免费 90 天 DV 证书，以及 2025 年 aliyun.com 误签事件。
- [TrustAsia 亚洲诚信](/zh/cas/trustasia/): 亚洲诚信是总部上海的 CA：2024 年根证书被 Chrome 和 Mozilla 收录，2026 年从 DigiCert 证书链切换到自有根证书，腾讯云免费证书主要由它签发。
- [ZeroSSL](/zh/cas/zerossl/): ZeroSSL 是奥地利的证书品牌，DV 证书链到 Sectigo 根证书；通过 ACME 可无限量免费签发 90 天证书，也是 acme.sh 的默认 CA。

## CCADB 中的其他 CA 所有者

| CA 所有者 | 国家/地区 | 根证书 | Chrome | Mozilla | Apple | Microsoft |
|---|---|---|---|---|---|---|
| A-Trust | AT | 2 | 0 | 0 | 0 | 2 |
| ACCV (Spain) | ES | 1 | 1 | 1 | 1 | 1 |
| ANCE (Tunisia) | TN | 1 | 1 | 1 | 0 | 1 |
| ANF AC | ES | 1 | 1 | 1 | 0 | 0 |
| Atos | DE | 3 | 2 | 2 | 3 | 3 |
| BJCA | CN | 2 | 0 | 2 | 0 | 0 |
| CCA India | IN | 1 | 0 | 0 | 0 | 1 |
| Certainly LLC | US | 2 | 2 | 2 | 2 | 0 |
| Certigna | FR | 2 | 1 | 0 | 1 | 2 |
| certSIGN | RO | 2 | 1 | 1 | 2 | 2 |
| CFCA | CN | 1 | 1 | 1 | 1 | 1 |
| Chunghwa Telecom | TW | 2 | 1 | 1 | 2 | 2 |
| ComSign | IL | 1 | 0 | 0 | 0 | 1 |
| Cybertrust Japan | JP | 2 | 0 | 2 | 0 | 2 |
| D-Trust | DE | 6 | 6 | 6 | 2 | 6 |
| Department of Defence Australia | AU | 1 | 0 | 0 | 0 | 1 |
| Deutsche Telekom Security | DE | 4 | 4 | 4 | 2 | 4 |
| Disig, a.s. | SK | 2 | 1 | 1 | 1 | 2 |
| Docaposte Certinomis | FR | 1 | 0 | 0 | 0 | 1 |
| e-commerce monitoring (GLOBALTRUST) | AT | 3 | 0 | 0 | 0 | 3 |
| EDICOM | ES | 1 | 0 | 0 | 0 | 1 |
| Fina | HR | 1 | 0 | 0 | 0 | 1 |
| Finland DVV (VRK) | FI | 3 | 0 | 0 | 0 | 3 |
| Firmaprofesional | ES | 2 | 1 | 1 | 1 | 2 |
| FNMT (Spain) | ES | 3 | 2 | 2 | 1 | 3 |
| Global Digital Cybersecurity Authority (GDCA) | CN | 1 | 1 | 1 | 1 | 1 |
| HALCOM d.d. | SI | 1 | 0 | 0 | 0 | 1 |
| Hongkong Post / Certizen | HK | 1 | 1 | 1 | 1 | 1 |
| IdenTrust | US | 4 | 1 | 2 | 2 | 4 |
| ITI (Brazil) | BR | 1 | 0 | 0 | 0 | 1 |
| iTrusChina Co., Ltd. | CN | 2 | 2 | 2 | 0 | 0 |
| Izenpe S.A. | ES | 1 | 1 | 1 | 1 | 1 |
| Kamu SM (Turkey) | TR | 1 | 1 | 1 | 1 | 1 |
| KIR | PL | 1 | 1 | 1 | 0 | 1 |
| KLID (Korea) | KR | 1 | 0 | 0 | 0 | 1 |
| Microsec Ltd. | HU | 3 | 3 | 3 | 1 | 3 |
| NAVER Cloud Trust Services | KR | 3 | 1 | 1 | 1 | 3 |
| NETLOCK | HU | 2 | 0 | 1 | 0 | 2 |
| Netrust Pte Ltd | SG | 1 | 0 | 0 | 0 | 1 |
| OATI | US | 2 | 0 | 0 | 0 | 2 |
| OISTE | CH | 4 | 4 | 4 | 2 | 2 |
| PostSignum | CZ | 1 | 0 | 0 | 0 | 1 |
| První certifikační autorita (I.CA) | CZ | 1 | 0 | 0 | 0 | 1 |
| SECOM Trust Systems | JP | 4 | 2 | 4 | 3 | 4 |
| SHECA | CN | 2 | 2 | 2 | 0 | 2 |
| SI-TRUST | SI | 1 | 0 | 0 | 0 | 1 |
| SwissSign AG | CH | 3 | 1 | 1 | 2 | 3 |
| Telia Company | SE | 4 | 1 | 3 | 2 | 4 |
| Thailand NRCA (ETDA) | TH | 1 | 0 | 0 | 0 | 1 |
| TWCA | TW | 3 | 2 | 3 | 2 | 3 |
| Visa | US | 2 | 0 | 0 | 0 | 2 |

来源：CCADB TLS Server Authentication 报告和 All Included Root Certificate Trust Bit Settings 报告（ccadb.org/resources）。