证书颁发机构

ZeroSSL：基于 Sectigo 根证书的免费 ACME 证书

Q: 为什么我用 acme.sh 申请的证书来自 ZeroSSL 而不是 Let's Encrypt？

从 acme.sh v3.0（2021 年 8 月）起，ZeroSSL 是新证书的默认 CA。执行 acme.sh --set-default-ca --server letsencrypt 可以改回 Let's Encrypt，也可以在单次申请时加 --server letsencrypt。

最后核实 2026-11-10

CCADB 中的 CA 所有者: CCADB TLS 报告中没有自有根证书
国家/地区: AT
ACME: 是
免费证书: 是
产品: DV wildcard multi-domain
根证书: 0
信任用于 TLS 的根证书数: Chrome 0 · Mozilla 0 · Apple 0 · Microsoft 0
CAA: sectigo.com

ZeroSSL 是一个证书品牌，通过 ACME 和网页控制台免费签发 90 天 DV 证书。它没有自己的根证书：中间 CA 由 Sectigo 的根证书签发，浏览器信任 ZeroSSL 证书，是因为信任 Sectigo。国内用户接触 ZeroSSL 多半是因为 acme.sh：新装的 acme.sh 默认就向 ZeroSSL 申请证书。

所有者与总部

ZeroSSL 的服务条款写明签约方是 ZeroSSL GmbH，其中间证书的主题字段也是 C=AT（奥地利）、O=ZeroSSL GmbH。由于没有根证书，CCADB 中没有 ZeroSSL 的 CA 所有者记录，签发依托的是 Sectigo 的 CA 基础设施。

根证书

截至 2026 年 11 月，CCADB 中没有登记在 ZeroSSL 名下的 TLS 根证书。zerossl.com 自己网站返回的证书链是：中间证书“ZeroSSL ECC DV SSL CA 2”→ Sectigo Public Server Authentication Root E46，后者又由 USERTrust ECC Certification Authority 交叉签名。较早的中间证书如“ZeroSSL ECC Domain Secure Site CA”（2020–2030）直接由 USERTrust ECC Certification Authority 签发。这两张 Sectigo 根证书都被 Chrome、Mozilla、Apple 和微软信任。部署时要使用客户端下载的完整证书链（acme.sh 生成的 fullchain.cer），否则部分设备可能无法构建信任路径，详见证书链。

证书产品

ZeroSSL 品牌目前只提供 DV 证书：90 天证书、年度证书（按 SC-081v3，其定价页说明必须在第 199 天前续签）、通配符和多域名证书，没有 OV、EV 产品。

ACME 支持

ZeroSSL 的 ACME 地址是 https://acme.zerossl.com/v2/DV90，需要 EAB 凭据，可以在控制台或通过 API 创建；acme.sh 等客户端用邮箱注册账户时可以自动获取。从 2021 年 8 月的 acme.sh v3.0 起，ZeroSSL 是 acme.sh 新证书的默认 CA。宝塔面板等工具如果底层调用 acme.sh，也可能因此拿到 ZeroSSL 证书。

免费证书

ACME 方式可无限量免费签发 90 天证书，包括通配符。不用 ACME 的免费网页套餐包含 3 张 90 天证书。ZeroSSL 在文档中表示，会限制或封禁滥用服务的用户。

重大事件

我们没有找到专门针对 ZeroSSL 品牌的公开误签事故记录。对用户影响最大的变化是 2021 年 acme.sh 把默认 CA 换成 ZeroSSL，不少运维直到证书来源变了才发现自己没在用 Let's Encrypt。由于 ZeroSSL 依赖 Sectigo 的证书体系，Sectigo 的根证书调整（例如迁移到 R46/E46 根证书）也会影响 ZeroSSL 的证书链。

CAA 记录

CCADB 登记了 7 个被 ZeroSSL 当前有效中间证书认可的 CAA 签发者域名。在域名的 CAA 里用其中任意一个写一条 issue 记录，就允许 ZeroSSL 为它签发证书。包含 CA 名称的域名排在前面，其余按认可它的有效中间证书数量排序。

前 3 个域名对应的记录，可以直接复制：

example.com. CAA 0 issue "sectigo.com"
example.com. CAA 0 issue "affirmtrust.com"
example.com. CAA 0 issue "comodo.com"

域名	认可它的有效中间证书
`sectigo.com`	12
`affirmtrust.com`	12
`comodo.com`	12
`comodoca.com`	12
`entrust.net`	12
`trust-provider.com`	12
`usertrust.com`	12

需要 issuewild、iodef 或各家 DNS 服务商的格式，可以用 CAA 记录生成器： CAA 记录生成

根证书（CCADB）

CCADB TLS Server Authentication 报告中没有登记在该机构名下的根证书，它签发的证书链到其他 CA 运营的根证书。

ZeroSSL 运营、但挂在其他 CA 根证书下的有效中间证书（CCADB 数据，括号里是有效中间证书数量）：

Sectigo (12)

审计信息

CCADB 没有 ZeroSSL 的审计记录，因为它在 TLS 报告里没有自己的根证书；它的证书由运营根证书的那家 CA 的审计覆盖。

CP/CPS 文档

CCADB 没有为 ZeroSSL 的 TLS 根证书登记 CP/CPS 链接。

问题上报渠道

CCADB 没有登记 ZeroSSL 的问题上报地址。按基线要求，这些说明应写在 CA 的 CPS 第 1.5.2 节。

事故记录

加入 Mozilla 根证书计划的 CA 出了合规问题，要在 Mozilla Bugzilla 提交事故报告（产品 CA Program，组件 CA Certificate Compliance）。下面的链接搜索标题里含“ZeroSSL”这些词的报告：

Bugzilla：标题含“ZeroSSL”的事故报告

常见问题

为什么我用 acme.sh 申请的证书来自 ZeroSSL 而不是 Let's Encrypt？

从 acme.sh v3.0（2021 年 8 月）起，ZeroSSL 是新证书的默认 CA。执行 acme.sh --set-default-ca --server letsencrypt 可以改回 Let's Encrypt，也可以在单次申请时加 --server letsencrypt。

ZeroSSL 的兼容性和 Let's Encrypt 一样吗？

ZeroSSL 证书链到 Sectigo 根证书，CCADB 显示这些根证书被 Chrome、Mozilla、Apple、微软信任，主流浏览器兼容性相当。如果要支持很老的设备，建议单独测试。

允许 ZeroSSL 签发证书的 CAA 记录怎么写？

写一条 example.com. CAA 0 issue "sectigo.com" 即可。CCADB 为 ZeroSSL 登记了 7 个认可的域名：sectigo.com、affirmtrust.com、comodo.com、comodoca.com、entrust.net、trust-provider.com、usertrust.com。

ZeroSSL 有多少张根证书？

没有自己的根证书：CCADB TLS 报告里没有登记在 ZeroSSL 名下的根证书。它运营的 12 张有效中间证书链到 Sectigo (12) 的根证书。