证书颁发机构
SSL.com：休斯顿 CA、根证书、ACME 与 2025 年验证漏洞
详细信息
- CCADB 中的 CA 所有者
- SSL.com
- 国家/地区
- US
- 所在国家（CCADB）
- United States of America
- ACME
- 是
- 免费证书
- 是
- 产品
- DV OV EV wildcard multi-domain S/MIME code-signing document-signing
- 根证书
- 12
- 信任用于 TLS 的根证书数
- Chrome 6 · Mozilla 6 · Apple 10 · Microsoft 12
- 其根证书签发的中间证书
- 235 张（87 张有效）
- 审计机构
- BDO International Limited
- CAA
ssl.com
SSL.com 是一家运营自有根证书的美国证书颁发机构，销售 DV、OV、EV TLS 证书以及 S/MIME、代码签名和文档签名证书。它支持带外部账户绑定（EAB）的 ACME；按其帮助中心的说法，账户没有余额时，ACME 请求会改为签发免费的 90 天 DV 证书。
所有者与总部
按公司官网的历史介绍，SSL.com 于 2002 年在美国得克萨斯州休斯顿成立，起初是证书代理商，2016 年签发自有根证书成为 CA。它在 2016 年 10 月成为 CA/B 论坛准成员，2017-08-03 成为正式投票成员。其根证书中的组织名称是“SSL Corporation”。
根证书
截至 2026 年 11 月，CCADB 在 SSL.com 名下列出 12 张根证书。其中 6 张被 Chrome、Mozilla、Apple、微软同时信任用于 TLS：SSL.com Root Certification Authority RSA、ECC 和 EV RSA R2、EV ECC 根证书（2016–2042 年），以及 SSL.com TLS RSA Root CA 2022 和 TLS ECC Root CA 2022（有效至 2046 年）。CCADB 还把原 Trustwave 的证书体系列在 SSL.com 名下：SecureTrust CA、Secure Global CA、XRamp Global CA 和三张 Trustwave Global 根证书，均已被 Chrome 和 Mozilla 移除。
证书产品
DV、OV、EV TLS 证书（含通配符和多域名），S/MIME，代码签名和文档签名证书。
ACME 支持
SSL.com 的 ACME 地址是 https://acme.ssl.com/sslcom-dv-ecc 和 https://acme.ssl.com/sslcom-dv-rsa。从 SSL.com 账户复制账户密钥和 HMAC 密钥，首次运行 certbot 或 acme.sh 时作为 EAB 凭据传入即可；付费证书从账户余额扣费。acme.sh 也内置了 SSL.com 的服务器别名。
免费证书
SSL.com 帮助中心说明：如果账户余额不足以支付付费证书，ACME 请求会签发一张免费的 90 天 DV 证书，覆盖一个域名，并可附带其 www 子域名。
重大事件
2025 年 4 月，一名研究者发现 SSL.com 对 BR 方法 3.2.2.4.14（发邮件给 DNS TXT 联系人）的实现有缺陷：它会把联系人邮箱所在的域名也当成已验证。研究者为一个测试域名发布 TXT 记录、指向一个 @aliyun.com 邮箱，就拿到了 aliyun.com 和 www.aliyun.com 的证书。aliyun.com 是阿里云和阿里邮箱使用的域名，也就是说，任何人只要能注册一个 @aliyun.com 邮箱，理论上都可能利用这个缺陷。SSL.com 停用了该方法，吊销了误签证书，并在 Mozilla Bugzilla 报告了事故（1961406 号）。SC-090 已规定到 2028 年前废止所有基于邮件的验证方法。
CAA 记录
CCADB 登记了 8 个被 SSL.com 当前有效中间证书认可的 CAA 签发者域名。在域名的 CAA 里用其中任意一个写一条 issue 记录，就允许 SSL.com 为它签发证书。包含 CA 名称的域名排在前面，其余按认可它的有效中间证书数量排序。
前 3 个域名对应的记录，可以直接复制：
example.com. CAA 0 issue "ssl.com"
example.com. CAA 0 issue "affirmtrust.com"
example.com. CAA 0 issue "entrust.net"| 域名 | 认可它的有效中间证书 |
|---|---|
ssl.com | 163 |
affirmtrust.com | 11 |
entrust.net | 11 |
comodo.com | 1 |
comodoca.com | 1 |
sectigo.com | 1 |
trust-provider.com | 1 |
usertrust.com | 1 |
需要 issuewild、iodef 或各家 DNS 服务商的格式，可以用 CAA 记录生成器： CAA 记录生成
根证书（CCADB）
SSL.com 在 CCADB TLS 报告里有 12 张根证书，它们一共签发了 235 张中间证书，其中 87 张仍有效。
该 CA 所有者在 CCADB TLS Server Authentication 报告中的根证书，以及在各根存储的当前状态。
- 信任用于 TLS
- 有条件收录（NotBefore / 无 TLS 信任位）
- 已移除或已拉黑
- 未收录
| 根证书 | 密钥 | 到期时间 | Ch | Mo | Ap | MS | 中间证书 |
|---|---|---|---|---|---|---|---|
| Secure Global CA | RSA 2048 | 2029-12-31 | 已移除 | 已移除 | 已拉黑 | 已收录 | 5 (1) |
| SecureTrust CA | RSA 2048 | 2029-12-31 | 已移除 | 已移除 | 已收录 | 已收录 | 33 (7) |
| SSL.com EV Root Certification Authority ECC | ECDSA P-384 | 2041-02-12 | 已收录 | 已收录 | 已收录 | 已收录 | 11 (6) |
| SSL.com EV Root Certification Authority RSA R2 | RSA 4096 | 2042-05-30 | 已收录 | 已收录 | 已收录 | 已收录 | 21 (10) |
| SSL.com Root Certification Authority ECC | ECDSA P-384 | 2041-02-12 | 已收录 | 已收录 | 已收录 | 已收录 | 26 (10) |
| SSL.com Root Certification Authority RSA | RSA 4096 | 2041-02-12 | 已收录 | 已收录 | 已收录 | 已收录 | 40 (16) |
| SSL.com TLS ECC Root CA 2022 | ECDSA P-384 | 2046-08-19 | 已收录 | 已收录 | 已收录 | 已收录 | 13 (13) |
| SSL.com TLS RSA Root CA 2022 | RSA 4096 | 2046-08-19 | 已收录 | 已收录 | 已收录 | 已收录 | 15 (15) |
| Trustwave Global Certification Authority | RSA 4096 | 2042-08-23 | 已移除 | 已移除 | 已收录 | 已收录 | 18 (1) |
| Trustwave Global ECC P256 Certification Authority | ECDSA P-256 | 2042-08-23 | 已移除 | 已移除 | 已收录 | 已收录 | 15 (1) |
| Trustwave Global ECC P384 Certification Authority | ECDSA P-384 | 2042-08-23 | 已移除 | 已移除 | 已收录 | 已收录 | 15 (1) |
| XRamp Global Certification Authority | RSA 2048 | 2035-01-01 | 已移除 | 已移除 | 已收录 | 已收录 | 23 (6) |
SSL.com 运营、但挂在其他 CA 根证书下的有效中间证书（CCADB 数据，括号里是有效中间证书数量）：
- Sectigo (19)
审计信息
CCADB 为 SSL.com 的 TLS 根证书登记的审计信息。审计机构：BDO International Limited。最近一次审计期间截至 2026-06-30。
| 审计项目 | 审计标准 | 审计期间 | 报告日期 | 报告 |
|---|---|---|---|---|
| 标准审计 | WebTrust | 2025-07-01 – 2026-06-30 | 2026-09-21 | cpacanada.ca |
| 网络安全审计 | WebTrust | 2025-07-01 – 2026-06-30 | 2026-09-21 | cpacanada.ca |
| TLS 基线要求审计 | WebTrust | 2025-07-01 – 2026-06-30 | 2026-09-21 | cpacanada.ca |
| TLS EV 指南审计 | WebTrust | 2025-07-01 – 2026-06-30 | 2026-09-21 | cpacanada.ca |
CP/CPS 文档
SSL.com 在 CCADB 为其 TLS 根证书登记的证书策略（CP）和认证业务规则（CPS）链接及生效日期：
- CP/CPS: https://legal.ssl.com/documents/SSLcom-CP-CPS.pdf (2026-10-05 起生效)
- 文档库: https://www.ssl.com/repository/
问题上报渠道
要上报错误签发的证书、私钥泄露或证书滥用，请用 SSL.com 在 CCADB 登记的渠道（邮箱地址里的 [at]、[dot] 换成 @ 和 .）：
事故记录
加入 Mozilla 根证书计划的 CA 出了合规问题，要在 Mozilla Bugzilla 提交事故报告（产品 CA Program，组件 CA Certificate Compliance）。下面的链接搜索标题里含“SSL.com”这些词的报告：
ACME 目录地址（CCADB）
SSL.com 在 CCADB 为其有效证书登记的 DV ACME 目录地址：
https://acme.ssl.comhttps://acme.ssl.com/sslcom-dv-ecchttps://acme.ssl.com/sslcom-dv-rsa
常见问题
允许 SSL.com 签发证书的 CAA 记录怎么写？
写一条 example.com. CAA 0 issue "ssl.com" 即可。CCADB 为 SSL.com 登记了 8 个认可的域名：ssl.com、affirmtrust.com、entrust.net、comodo.com、comodoca.com、sectigo.com、trust-provider.com、usertrust.com。
SSL.com 由谁审计？
按 CCADB 记录，审计机构是 BDO International Limited。最近一次TLS 基线要求审计（WebTrust）覆盖 2025-07-01 至 2026-06-30，报告日期 2026-09-21。
怎么向 SSL.com 上报有问题的证书？
用 CCADB 登记的渠道：https://www.ssl.com/revoke/。
SSL.com 有多少张根证书？
CCADB TLS 报告里有 12 张。信任用于 TLS 的数量：Chrome 6 张，Mozilla 6 张，Apple 10 张，微软 12 张。它们一共签发了 235 张中间证书，其中 87 张仍有效。