# SSL.com：休斯顿 CA、根证书、ACME 与 2025 年验证漏洞 > SSL.com 2002 年成立于美国休斯顿：根证书、原 Trustwave 根证书、ACME 免费 90 天 DV 证书，以及 2025 年 aliyun.com 误签事件。 Source: https://ssl.sh/zh/cas/ssl-com/ Last updated: 2026-11-10 SSL.com 是一家运营自有根证书的美国证书颁发机构，销售 DV、OV、EV TLS 证书以及 S/MIME、代码签名和文档签名证书。它支持带外部账户绑定（EAB）的 ACME；按其帮助中心的说法，账户没有余额时，ACME 请求会改为签发免费的 90 天 DV 证书。 ## 所有者与总部 按公司官网的历史介绍，SSL.com 于 2002 年在美国得克萨斯州休斯顿成立，起初是证书代理商，2016 年签发自有根证书成为 CA。它在 2016 年 10 月成为 CA/B 论坛准成员，2017-08-03 成为正式投票成员。其根证书中的组织名称是“SSL Corporation”。 ## 根证书 截至 2026 年 11 月，CCADB 在 SSL.com 名下列出 12 张根证书。其中 6 张被 Chrome、Mozilla、Apple、微软同时信任用于 TLS：SSL.com Root Certification Authority RSA、ECC 和 EV RSA R2、EV ECC 根证书（2016–2042 年），以及 SSL.com TLS RSA Root CA 2022 和 TLS ECC Root CA 2022（有效至 2046 年）。CCADB 还把原 Trustwave 的证书体系列在 SSL.com 名下：SecureTrust CA、Secure Global CA、XRamp Global CA 和三张 Trustwave Global 根证书，均已被 Chrome 和 Mozilla 移除。 ## 证书产品 DV、OV、EV TLS 证书（含通配符和多域名），S/MIME，代码签名和文档签名证书。 ## ACME 支持 SSL.com 的 ACME 地址是 `https://acme.ssl.com/sslcom-dv-ecc` 和 `https://acme.ssl.com/sslcom-dv-rsa`。从 SSL.com 账户复制账户密钥和 HMAC 密钥，首次运行 certbot 或 acme.sh 时作为 EAB 凭据传入即可；付费证书从账户余额扣费。acme.sh 也内置了 SSL.com 的服务器别名。 ## 免费证书 SSL.com 帮助中心说明：如果账户余额不足以支付付费证书，ACME 请求会签发一张免费的 90 天 DV 证书，覆盖一个域名，并可附带其 www 子域名。 ## 重大事件 2025 年 4 月，一名研究者发现 SSL.com 对 BR 方法 3.2.2.4.14（发邮件给 DNS TXT 联系人）的实现有缺陷：它会把联系人邮箱所在的域名也当成已验证。研究者为一个测试域名发布 TXT 记录、指向一个 @aliyun.com 邮箱，就拿到了 aliyun.com 和 www.aliyun.com 的证书。aliyun.com 是阿里云和阿里邮箱使用的域名，也就是说，任何人只要能注册一个 @aliyun.com 邮箱，理论上都可能利用这个缺陷。SSL.com 停用了该方法，吊销了误签证书，并在 Mozilla Bugzilla 报告了事故（1961406 号）。[SC-090](https://ssl.sh/zh/ballots/sc-090/) 已规定到 2028 年前废止所有基于邮件的验证方法。 ## 根证书（CCADB） SSL.com 在 CCADB TLS 报告里有 12 张根证书，它们一共签发了 235 张中间证书，其中 87 张仍有效。 | 根证书 | 密钥 | 到期时间 | Chrome | Mozilla | Apple | Microsoft | 中间证书 | SHA-256 | |---|---|---|---|---|---|---|---|---| | Secure Global CA | RSA 2048 | 2029-12-31 | 已移除 | 已移除 | 已拉黑 | 已收录 | 5 | 4200F5043AC8590EBB527D209ED1503029FBCBD41CA1B506EC27F15ADE7DAC69 | | SecureTrust CA | RSA 2048 | 2029-12-31 | 已移除 | 已移除 | 已收录 | 已收录 | 33 | F1C1B50AE5A20DD8030EC9F6BC24823DD367B5255759B4E71B61FCE9F7375D73 | | SSL.com EV Root Certification Authority ECC | ECDSA P-384 | 2041-02-12 | 已收录 | 已收录 | 已收录 | 已收录 | 11 | 22A2C1F7BDED704CC1E701B5F408C310880FE956B5DE2A4A44F99C873A25A7C8 | | SSL.com EV Root Certification Authority RSA R2 | RSA 4096 | 2042-05-30 | 已收录 | 已收录 | 已收录 | 已收录 | 21 | 2E7BF16CC22485A7BBE2AA8696750761B0AE39BE3B2FE9D0CC6D4EF73491425C | | SSL.com Root Certification Authority ECC | ECDSA P-384 | 2041-02-12 | 已收录 | 已收录 | 已收录 | 已收录 | 26 | 3417BB06CC6007DA1B961C920B8AB4CE3FAD820E4AA30B9ACBC4A74EBDCEBC65 | | SSL.com Root Certification Authority RSA | RSA 4096 | 2041-02-12 | 已收录 | 已收录 | 已收录 | 已收录 | 40 | 85666A562EE0BE5CE925C1D8890A6F76A87EC16D4D7D5F29EA7419CF20123B69 | | SSL.com TLS ECC Root CA 2022 | ECDSA P-384 | 2046-08-19 | 已收录 | 已收录 | 已收录 | 已收录 | 13 | C32FFD9F46F936D16C3673990959434B9AD60AAFBB9E7CF33654F144CC1BA143 | | SSL.com TLS RSA Root CA 2022 | RSA 4096 | 2046-08-19 | 已收录 | 已收录 | 已收录 | 已收录 | 15 | 8FAF7D2E2CB4709BB8E0B33666BF75A5DD45B5DE480F8EA8D4BFE6BEBC17F2ED | | Trustwave Global Certification Authority | RSA 4096 | 2042-08-23 | 已移除 | 已移除 | 已收录 | 已收录 | 18 | 97552015F5DDFC3C8788C006944555408894450084F100867086BC1A2BB58DC8 | | Trustwave Global ECC P256 Certification Authority | ECDSA P-256 | 2042-08-23 | 已移除 | 已移除 | 已收录 | 已收录 | 15 | 945BBC825EA554F489D1FD51A73DDF2EA624AC7019A05205225C22A78CCFA8B4 | | Trustwave Global ECC P384 Certification Authority | ECDSA P-384 | 2042-08-23 | 已移除 | 已移除 | 已收录 | 已收录 | 15 | 55903859C8C0C3EBB8759ECE4E2557225FF5758BBD38EBD48276601E1BD58097 | | XRamp Global Certification Authority | RSA 2048 | 2035-01-01 | 已移除 | 已移除 | 已收录 | 已收录 | 23 | CECDDC905099D8DADFC5B1D209B737CBE2C18CFB2C10C0FF0BCF0D3286FC1AA2 | SSL.com 运营、但挂在其他 CA 根证书下的有效中间证书（CCADB 数据，括号里是有效中间证书数量）： - Sectigo: 19 ## CAA 记录 CCADB 登记了 8 个被 SSL.com 当前有效中间证书认可的 CAA 签发者域名。在域名的 CAA 里用其中任意一个写一条 issue 记录，就允许 SSL.com 为它签发证书。包含 CA 名称的域名排在前面，其余按认可它的有效中间证书数量排序。 ``` example.com. CAA 0 issue "ssl.com" example.com. CAA 0 issue "affirmtrust.com" example.com. CAA 0 issue "entrust.net" ``` ## 审计信息 CCADB 为 SSL.com 的 TLS 根证书登记的审计信息。审计机构：BDO International Limited。最近一次审计期间截至 2026-06-30。 - 标准审计: WebTrust 2025-07-01 – 2026-06-30 (https://www.cpacanada.ca/api/getPDFWebTrust?attachmentId=acc3f372-b38b-4b15-b18f-2b4f744dd65a) - 网络安全审计: WebTrust 2025-07-01 – 2026-06-30 (https://www.cpacanada.ca/api/getPDFWebTrust?attachmentId=6c467dfb-cc1c-4093-b54e-11de4b73e102) - TLS 基线要求审计: WebTrust 2025-07-01 – 2026-06-30 (https://www.cpacanada.ca/api/getPDFWebTrust?attachmentId=00fa2ef1-ad05-49fc-af40-b407af21ff35) - TLS EV 指南审计: WebTrust 2025-07-01 – 2026-06-30 (https://www.cpacanada.ca/api/getPDFWebTrust?attachmentId=b5960e24-3314-4fd8-b344-5ff81e020e9c) ## CP/CPS 文档 SSL.com 在 CCADB 为其 TLS 根证书登记的证书策略（CP）和认证业务规则（CPS）链接及生效日期： - CP/CPS: https://legal.ssl.com/documents/SSLcom-CP-CPS.pdf ## 问题上报渠道 要上报错误签发的证书、私钥泄露或证书滥用，请用 SSL.com 在 CCADB 登记的渠道（邮箱地址里的 [at]、[dot] 换成 @ 和 .）： - https://www.ssl.com/revoke/ ## 事故记录 加入 Mozilla 根证书计划的 CA 出了合规问题，要在 Mozilla Bugzilla 提交事故报告（产品 CA Program，组件 CA Certificate Compliance）。下面的链接搜索标题里含“SSL.com”这些词的报告： https://bugzilla.mozilla.org/buglist.cgi?query_format=advanced&product=CA+Program&component=CA+Certificate+Compliance&short_desc_type=allwords&short_desc=SSL.com&order=changeddate+DESC ## 常见问题 **允许 SSL.com 签发证书的 CAA 记录怎么写？** 写一条 example.com. CAA 0 issue "ssl.com" 即可。CCADB 为 SSL.com 登记了 8 个认可的域名：ssl.com、affirmtrust.com、entrust.net、comodo.com、comodoca.com、sectigo.com、trust-provider.com、usertrust.com。 **SSL.com 由谁审计？** 按 CCADB 记录，审计机构是 BDO International Limited。最近一次TLS 基线要求审计（WebTrust）覆盖 2025-07-01 至 2026-06-30，报告日期 2026-09-21。 **怎么向 SSL.com 上报有问题的证书？** 用 CCADB 登记的渠道：https://www.ssl.com/revoke/。 **SSL.com 有多少张根证书？** CCADB TLS 报告里有 12 张。信任用于 TLS 的数量：Chrome 6 张，Mozilla 6 张，Apple 10 张，微软 12 张。它们一共签发了 235 张中间证书，其中 87 张仍有效。 来源：CCADB 的 All Certificate Information（V5）、List of CAA Identifiers、List of CA problem reporting mechanisms 和 TLS Server Authentication 报告（ccadb.org/resources）。