证书颁发机构
Sectigo：原 Comodo CA、根证书与收购 Entrust
详细信息
- CCADB 中的 CA 所有者
- Sectigo
- 国家/地区
- US
- 所在国家（CCADB）
- United Kingdom
- ACME
- 是
- 免费证书
- 否
- 产品
- DV OV EV wildcard multi-domain S/MIME code-signing private-PKI
- 根证书
- 14
- 信任用于 TLS 的根证书数
- Chrome 6 · Mozilla 6 · Apple 13 · Microsoft 13
- 其根证书签发的中间证书
- 1116 张（842 张有效）
- 审计机构
- BDO International Limited
- CAA
sectigo.com
Sectigo 就是以前的 Comodo CA，是商业 DV、OV、EV 证书的重要供应商。国内代理商常卖的 PositiveSSL 等证书就出自它。它的根证书也是 ZeroSSL 的信任基础；2025 年起，Entrust 的公开证书业务和多张根证书也归了它。
所有者与总部
Comodo 的证书业务在 2018 年更名为 Sectigo。Sectigo 的新闻稿落款地是美国亚利桑那州 Scottsdale，而它现在的根证书签发者写的是英国的 Sectigo Limited，所以按根证书统计国家时会显示 GB。CCADB 中的 CA 所有者就叫“Sectigo”。
根证书
截至 2026 年 11 月，CCADB 在 Sectigo 名下列出 14 张根证书。被 Chrome、Mozilla、Apple、微软同时信任用于 TLS 的有：Sectigo Public Server Authentication Root R46（RSA 4096）和 E46（ECDSA P-384），有效至 2046 年；USERTrust RSA、ECC Certification Authority 以及 COMODO RSA、ECC Certification Authority，有效至 2038 年。2004 年的老 Comodo 根证书 AAA Certificate Services 已被 Chrome 根存储移除。CCADB 还列出了随 2025 年收购而来的 6 张 Entrust 根证书，它们在 Chrome 2024 年不再信任 Entrust 之后都已被 Chrome 移除；其中 Entrust Root Certification Authority 将于 2026-11-27 到期。
证书产品
DV、OV、EV TLS 证书及通配符、多域名版本，S/MIME、代码签名和私有 PKI。既直接销售，也通过面向企业的 Sectigo Certificate Manager 和大量代理商销售。
ACME 支持
Sectigo 为付费证书提供 ACME，需要在其平台上获取 EAB 凭据，然后在 certbot、acme.sh 等客户端里配置即可自动续期。对在国内代理商处购买 Sectigo 证书的用户来说，能否用 ACME 取决于代理商是否开放这项功能，下单前最好先确认。ZeroSSL 的免费 ACME 服务同样运行在 Sectigo 的证书体系上。
免费证书
Sectigo 自有品牌不提供免费证书；基于其根证书的免费选择是 ZeroSSL（acme.sh 的默认 CA）。
重大事件
2011 年 3 月，攻击者入侵了 Comodo 的一个注册机构，骗取了多张公开网站的欺诈证书，Comodo 将其吊销，Mozilla 发布 Firefox 更新予以屏蔽。2020-05-30，旧的 AddTrust External CA Root 到期，一些仍依赖它的老旧客户端和 TLS 库出现了连接失败。2025 年，在浏览器不再信任 Entrust 之后，Sectigo 接手了 Entrust 的公开证书客户，并于当年 9 月宣布完成迁移。如果你手上还有 Entrust 品牌的旧证书，续期时会被转到 Sectigo 的证书体系，证书链也会随之变化，部署时要换成新的完整证书链。
CAA 记录
CCADB 登记了 7 个被 Sectigo 当前有效中间证书认可的 CAA 签发者域名。在域名的 CAA 里用其中任意一个写一条 issue 记录，就允许 Sectigo 为它签发证书。包含 CA 名称的域名排在前面，其余按认可它的有效中间证书数量排序。
前 3 个域名对应的记录，可以直接复制：
example.com. CAA 0 issue "sectigo.com"
example.com. CAA 0 issue "affirmtrust.com"
example.com. CAA 0 issue "comodo.com"| 域名 | 认可它的有效中间证书 |
|---|---|
sectigo.com | 865 |
affirmtrust.com | 865 |
comodo.com | 865 |
comodoca.com | 865 |
entrust.net | 865 |
trust-provider.com | 865 |
usertrust.com | 865 |
需要 issuewild、iodef 或各家 DNS 服务商的格式，可以用 CAA 记录生成器： CAA 记录生成
根证书（CCADB）
Sectigo 在 CCADB TLS 报告里有 14 张根证书，它们一共签发了 1116 张中间证书，其中 842 张仍有效。
该 CA 所有者在 CCADB TLS Server Authentication 报告中的根证书，以及在各根存储的当前状态。
- 信任用于 TLS
- 有条件收录（NotBefore / 无 TLS 信任位）
- 已移除或已拉黑
- 未收录
| 根证书 | 密钥 | 到期时间 | Ch | Mo | Ap | MS | 中间证书 |
|---|---|---|---|---|---|---|---|
| AAA Certificate Services | RSA 2048 | 2028-12-31 | 已移除 | 已收录 | 已收录 | 已收录 | 95 (53) |
| COMODO Certification Authority | RSA 2048 | 2029-12-31 | 未收录 | 已收录 | 已收录 | 已移除 | 27 (4) |
| COMODO Certification Authority | RSA 2048 | 2030-12-31 | 已移除 | 未收录 | 未收录 | 已收录 | 0 (0) |
| COMODO ECC Certification Authority | ECDSA P-384 | 2038-01-18 | 已收录 | 已收录 | 已收录 | 已收录 | 21 (17) |
| COMODO RSA Certification Authority | RSA 4096 | 2038-01-18 | 已收录 | 已收录 | 已收录 | 已收录 | 42 (23) |
| Entrust Root Certification Authority | RSA 2048 | 2026-11-27 | 已移除 | 已移除 | 已收录 | 已收录 | 18 (2) |
| Entrust Root Certification Authority - EC1 | ECDSA P-384 | 2037-12-18 | 已移除 | 已收录 | 已收录 | 已收录 | 4 (2) |
| Entrust Root Certification Authority - G2 | RSA 2048 | 2030-12-07 | 已移除 | 已收录 | 已收录 | 已收录 | 29 (12) |
| Entrust Root Certification Authority - G4 | RSA 4096 | 2037-12-27 | 已移除 | 已收录 | 已收录 | 已收录 | 3 (0) |
| Entrust.net Certification Authority (2048) | RSA 2048 | 2029-07-24 | 已移除 | 已收录 | 已收录 | 已收录 | 35 (9) |
| Sectigo Public Server Authentication Root E46 | ECDSA P-384 | 2046-03-21 | 已收录 | 已收录 | 已收录 | 已收录 | 103 (102) |
| Sectigo Public Server Authentication Root R46 | RSA 4096 | 2046-03-21 | 已收录 | 已收录 | 已收录 | 已收录 | 136 (135) |
| USERTrust ECC Certification Authority | ECDSA P-384 | 2038-01-18 | 已收录 | 已收录 | 已收录 | 已收录 | 214 (195) |
| USERTrust RSA Certification Authority | RSA 4096 | 2038-01-18 | 已收录 | 已收录 | 已收录 | 已收录 | 389 (288) |
审计信息
CCADB 为 Sectigo 的 TLS 根证书登记的审计信息。审计机构：BDO International Limited。最近一次审计期间截至 2026-03-31。
| 审计项目 | 审计标准 | 审计期间 | 报告日期 | 报告 |
|---|---|---|---|---|
| 标准审计 | WebTrust | 2025-04-01 – 2026-03-31 | 2026-06-22 | cpacanada.ca |
| 网络安全审计 | WebTrust | 2025-04-01 – 2026-03-31 | 2026-06-22 | cpacanada.ca |
| TLS 基线要求审计 | WebTrust | 2025-04-01 – 2026-03-31 | 2026-06-22 | cpacanada.ca |
| TLS EV 指南审计 | WebTrust | 2025-04-01 – 2026-03-31 | 2026-06-22 | cpacanada.ca |
CP/CPS 文档
Sectigo 在 CCADB 为其 TLS 根证书登记的证书策略（CP）和认证业务规则（CPS）链接及生效日期：
- Markdown CP/CPS: https://raw.githubusercontent.com/sectigo/policy-documentation/refs/heads/main/Sectigo%20Code%20Signing%20CP%20CPS.md (2026-09-30 起生效)
- Markdown CP/CPS: https://raw.githubusercontent.com/sectigo/policy-documentation/refs/heads/main/Sectigo%20Document%20Signing%20CP%20CPS.md (2026-09-30 起生效)
- Markdown CP/CPS: https://raw.githubusercontent.com/sectigo/policy-documentation/refs/heads/main/Sectigo%20SMIME%20CP%20CPS.md (2026-09-30 起生效)
- Markdown CP/CPS: https://raw.githubusercontent.com/sectigo/policy-documentation/refs/heads/main/Sectigo%20TLS%20CP%20CPS.md (2026-09-30 起生效)
- 文档库: https://sectigo.com/legal
问题上报渠道
要上报错误签发的证书、私钥泄露或证书滥用，请用 Sectigo 在 CCADB 登记的渠道（邮箱地址里的 [at]、[dot] 换成 @ 和 .）：
- https://secure.sectigo.com/products/RevocationPortal
- https://acme.sectigo.com/v2/keyCompromise
- https://acme.sectigo.com/v2/keyCompromise/revokeCert
signedmalwarealert[at]sectigo[dot]comsslabuse[at]sectigo[dot]com
事故记录
加入 Mozilla 根证书计划的 CA 出了合规问题，要在 Mozilla Bugzilla 提交事故报告（产品 CA Program，组件 CA Certificate Compliance）。下面的链接搜索标题里含“Sectigo”这些词的报告：
常见问题
为什么有些网站的证书链里还能看到“AddTrust”或“COMODO”？
那是 Sectigo 的旧根证书和交叉证书。AddTrust External CA Root 已于 2020-05-30 过期；如果服务器还在发送它，应删掉并改用 CA 提供的当前证书链。
允许 Sectigo 签发证书的 CAA 记录怎么写？
写一条 example.com. CAA 0 issue "sectigo.com" 即可。CCADB 为 Sectigo 登记了 7 个认可的域名：sectigo.com、affirmtrust.com、comodo.com、comodoca.com、entrust.net、trust-provider.com、usertrust.com。
Sectigo 由谁审计？
按 CCADB 记录，审计机构是 BDO International Limited。最近一次TLS 基线要求审计（WebTrust）覆盖 2025-04-01 至 2026-03-31，报告日期 2026-06-22。
怎么向 Sectigo 上报有问题的证书？
用 CCADB 登记的渠道：https://secure.sectigo.com/products/RevocationPortal、https://acme.sectigo.com/v2/keyCompromise、https://acme.sectigo.com/v2/keyCompromise/revokeCert。