# Sectigo：原 Comodo CA、根证书与收购 Entrust > Sectigo 即原 Comodo CA：USERTrust 和 R46/E46 根证书、2025 年接手的 Entrust 根证书、付费 ACME、ZeroSSL 的签发方及历史事件。 Source: https://ssl.sh/zh/cas/sectigo/ Last updated: 2026-11-10 Sectigo 就是以前的 Comodo CA，是商业 DV、OV、EV 证书的重要供应商。国内代理商常卖的 PositiveSSL 等证书就出自它。它的根证书也是 [ZeroSSL](https://ssl.sh/zh/cas/zerossl/) 的信任基础；2025 年起，[Entrust](https://ssl.sh/zh/cas/entrust/) 的公开证书业务和多张根证书也归了它。 ## 所有者与总部 Comodo 的证书业务在 2018 年更名为 Sectigo。Sectigo 的新闻稿落款地是美国亚利桑那州 Scottsdale，而它现在的根证书签发者写的是英国的 Sectigo Limited，所以按根证书统计国家时会显示 GB。CCADB 中的 CA 所有者就叫“Sectigo”。 ## 根证书 截至 2026 年 11 月，CCADB 在 Sectigo 名下列出 14 张根证书。被 Chrome、Mozilla、Apple、微软同时信任用于 TLS 的有：Sectigo Public Server Authentication Root R46（RSA 4096）和 E46（ECDSA P-384），有效至 2046 年；USERTrust RSA、ECC Certification Authority 以及 COMODO RSA、ECC Certification Authority，有效至 2038 年。2004 年的老 Comodo 根证书 AAA Certificate Services 已被 Chrome 根存储移除。CCADB 还列出了随 2025 年收购而来的 6 张 Entrust 根证书，它们在 Chrome 2024 年不再信任 Entrust 之后都已被 Chrome 移除；其中 Entrust Root Certification Authority 将于 2026-11-27 到期。 ## 证书产品 DV、OV、EV TLS 证书及通配符、多域名版本，S/MIME、代码签名和私有 PKI。既直接销售，也通过面向企业的 Sectigo Certificate Manager 和大量代理商销售。 ## ACME 支持 Sectigo 为付费证书提供 ACME，需要在其平台上获取 EAB 凭据，然后在 certbot、acme.sh 等客户端里配置即可自动续期。对在国内代理商处购买 Sectigo 证书的用户来说，能否用 ACME 取决于代理商是否开放这项功能，下单前最好先确认。ZeroSSL 的免费 ACME 服务同样运行在 Sectigo 的证书体系上。 ## 免费证书 Sectigo 自有品牌不提供免费证书；基于其根证书的免费选择是 [ZeroSSL](https://ssl.sh/zh/cas/zerossl/)（acme.sh 的默认 CA）。 ## 重大事件 2011 年 3 月，攻击者入侵了 Comodo 的一个注册机构，骗取了多张公开网站的欺诈证书，Comodo 将其吊销，Mozilla 发布 Firefox 更新予以屏蔽。2020-05-30，旧的 AddTrust External CA Root 到期，一些仍依赖它的老旧客户端和 TLS 库出现了连接失败。2025 年，在浏览器不再信任 Entrust 之后，Sectigo 接手了 Entrust 的公开证书客户，并于当年 9 月宣布完成迁移。如果你手上还有 Entrust 品牌的旧证书，续期时会被转到 Sectigo 的证书体系，证书链也会随之变化，部署时要换成新的完整证书链。 ## 根证书（CCADB） Sectigo 在 CCADB TLS 报告里有 14 张根证书，它们一共签发了 1116 张中间证书，其中 842 张仍有效。 | 根证书 | 密钥 | 到期时间 | Chrome | Mozilla | Apple | Microsoft | 中间证书 | SHA-256 | |---|---|---|---|---|---|---|---|---| | AAA Certificate Services | RSA 2048 | 2028-12-31 | 已移除 | 已收录 | 已收录 | 已收录 | 95 | D7A7A0FB5D7E2731D771E9484EBCDEF71D5F0C3E0A2948782BC83EE0EA699EF4 | | COMODO Certification Authority | RSA 2048 | 2029-12-31 | 未收录 | 已收录 | 已收录 | 已移除 | 27 | 0C2CD63DF7806FA399EDE809116B575BF87989F06518F9808C860503178BAF66 | | COMODO Certification Authority | RSA 2048 | 2030-12-31 | 已移除 | 未收录 | 未收录 | 已收录 | 0 | 1A0D20445DE5BA1862D19EF880858CBCE50102B36E8F0A040C3C69E74522FE6E | | COMODO ECC Certification Authority | ECDSA P-384 | 2038-01-18 | 已收录 | 已收录 | 已收录 | 已收录 | 21 | 1793927A0614549789ADCE2F8F34F7F0B66D0F3AE3A3B84D21EC15DBBA4FADC7 | | COMODO RSA Certification Authority | RSA 4096 | 2038-01-18 | 已收录 | 已收录 | 已收录 | 已收录 | 42 | 52F0E1C4E58EC629291B60317F074671B85D7EA80D5B07273463534B32B40234 | | Entrust Root Certification Authority | RSA 2048 | 2026-11-27 | 已移除 | 已移除 | 已收录 | 已收录 | 18 | 73C176434F1BC6D5ADF45B0E76E727287C8DE57616C1E6E6141A2B2CBC7D8E4C | | Entrust Root Certification Authority - EC1 | ECDSA P-384 | 2037-12-18 | 已移除 | 已收录 | 已收录 | 已收录 | 4 | 02ED0EB28C14DA45165C566791700D6451D7FB56F0B2AB1D3B8EB070E56EDFF5 | | Entrust Root Certification Authority - G2 | RSA 2048 | 2030-12-07 | 已移除 | 已收录 | 已收录 | 已收录 | 29 | 43DF5774B03E7FEF5FE40D931A7BEDF1BB2E6B42738C4E6D3841103D3AA7F339 | | Entrust Root Certification Authority - G4 | RSA 4096 | 2037-12-27 | 已移除 | 已收录 | 已收录 | 已收录 | 3 | DB3517D1F6732A2D5AB97C533EC70779EE3270A62FB4AC4238372460E6F01E88 | | Entrust.net Certification Authority (2048) | RSA 2048 | 2029-07-24 | 已移除 | 已收录 | 已收录 | 已收录 | 35 | 6DC47172E01CBCB0BF62580D895FE2B8AC9AD4F873801E0C10B9C837D21EB177 | | Sectigo Public Server Authentication Root E46 | ECDSA P-384 | 2046-03-21 | 已收录 | 已收录 | 已收录 | 已收录 | 103 | C90F26F0FB1B4018B22227519B5CA2B53E2CA5B3BE5CF18EFE1BEF47380C5383 | | Sectigo Public Server Authentication Root R46 | RSA 4096 | 2046-03-21 | 已收录 | 已收录 | 已收录 | 已收录 | 136 | 7BB647A62AEEAC88BF257AA522D01FFEA395E0AB45C73F93F65654EC38F25A06 | | USERTrust ECC Certification Authority | ECDSA P-384 | 2038-01-18 | 已收录 | 已收录 | 已收录 | 已收录 | 214 | 4FF460D54B9C86DABFBCFC5712E0400D2BED3FBC4D4FBDAA86E06ADCD2A9AD7A | | USERTrust RSA Certification Authority | RSA 4096 | 2038-01-18 | 已收录 | 已收录 | 已收录 | 已收录 | 389 | E793C9B02FD8AA13E21C31228ACCB08119643B749C898964B1746D46C3D4CBD2 | ## CAA 记录 CCADB 登记了 7 个被 Sectigo 当前有效中间证书认可的 CAA 签发者域名。在域名的 CAA 里用其中任意一个写一条 issue 记录，就允许 Sectigo 为它签发证书。包含 CA 名称的域名排在前面，其余按认可它的有效中间证书数量排序。 ``` example.com. CAA 0 issue "sectigo.com" example.com. CAA 0 issue "affirmtrust.com" example.com. CAA 0 issue "comodo.com" ``` ## 审计信息 CCADB 为 Sectigo 的 TLS 根证书登记的审计信息。审计机构：BDO International Limited。最近一次审计期间截至 2026-03-31。 - 标准审计: WebTrust 2025-04-01 – 2026-03-31 (https://www.cpacanada.ca/api/getPDFWebTrust?attachmentId=4a226df8-aaab-4411-9f0c-8b918bb5ded5) - 网络安全审计: WebTrust 2025-04-01 – 2026-03-31 (https://www.cpacanada.ca/api/getPDFWebTrust?attachmentId=4c133ad7-77c4-404d-b6ec-d01c0faa7174) - TLS 基线要求审计: WebTrust 2025-04-01 – 2026-03-31 (https://www.cpacanada.ca/api/getPDFWebTrust?attachmentId=19f98dd5-6b66-474d-8370-a0e3fda6e4b5) - TLS EV 指南审计: WebTrust 2025-04-01 – 2026-03-31 (https://www.cpacanada.ca/api/getPDFWebTrust?attachmentId=d7007d1d-8575-4370-bd6b-2259f23a5934) ## CP/CPS 文档 Sectigo 在 CCADB 为其 TLS 根证书登记的证书策略（CP）和认证业务规则（CPS）链接及生效日期： - Markdown CP/CPS: https://raw.githubusercontent.com/sectigo/policy-documentation/refs/heads/main/Sectigo%20Code%20Signing%20CP%20CPS.md - Markdown CP/CPS: https://raw.githubusercontent.com/sectigo/policy-documentation/refs/heads/main/Sectigo%20Document%20Signing%20CP%20CPS.md - Markdown CP/CPS: https://raw.githubusercontent.com/sectigo/policy-documentation/refs/heads/main/Sectigo%20SMIME%20CP%20CPS.md - Markdown CP/CPS: https://raw.githubusercontent.com/sectigo/policy-documentation/refs/heads/main/Sectigo%20TLS%20CP%20CPS.md ## 问题上报渠道 要上报错误签发的证书、私钥泄露或证书滥用，请用 Sectigo 在 CCADB 登记的渠道（邮箱地址里的 [at]、[dot] 换成 @ 和 .）： - https://secure.sectigo.com/products/RevocationPortal - https://acme.sectigo.com/v2/keyCompromise - https://acme.sectigo.com/v2/keyCompromise/revokeCert - signedmalwarealert[at]sectigo[dot]com - sslabuse[at]sectigo[dot]com ## 事故记录 加入 Mozilla 根证书计划的 CA 出了合规问题，要在 Mozilla Bugzilla 提交事故报告（产品 CA Program，组件 CA Certificate Compliance）。下面的链接搜索标题里含“Sectigo”这些词的报告： https://bugzilla.mozilla.org/buglist.cgi?query_format=advanced&product=CA+Program&component=CA+Certificate+Compliance&short_desc_type=allwords&short_desc=Sectigo&order=changeddate+DESC ## 常见问题 **为什么有些网站的证书链里还能看到“AddTrust”或“COMODO”？** 那是 Sectigo 的旧根证书和交叉证书。AddTrust External CA Root 已于 2020-05-30 过期；如果服务器还在发送它，应删掉并改用 CA 提供的当前证书链。 **允许 Sectigo 签发证书的 CAA 记录怎么写？** 写一条 example.com. CAA 0 issue "sectigo.com" 即可。CCADB 为 Sectigo 登记了 7 个认可的域名：sectigo.com、affirmtrust.com、comodo.com、comodoca.com、entrust.net、trust-provider.com、usertrust.com。 **Sectigo 由谁审计？** 按 CCADB 记录，审计机构是 BDO International Limited。最近一次TLS 基线要求审计（WebTrust）覆盖 2025-04-01 至 2026-03-31，报告日期 2026-06-22。 **怎么向 Sectigo 上报有问题的证书？** 用 CCADB 登记的渠道：https://secure.sectigo.com/products/RevocationPortal、https://acme.sectigo.com/v2/keyCompromise、https://acme.sectigo.com/v2/keyCompromise/revokeCert。 来源：CCADB 的 All Certificate Information（V5）、List of CAA Identifiers、List of CA problem reporting mechanisms 和 TLS Server Authentication 报告（ccadb.org/resources）。