# ZeroSSL：基于 Sectigo 根证书的免费 ACME 证书

> ZeroSSL 是奥地利的证书品牌，DV 证书链到 Sectigo 根证书；通过 ACME 可无限量免费签发 90 天证书，也是 acme.sh 的默认 CA。

Source: https://ssl.sh/zh/cas/zerossl/
Last updated: 2026-11-10

ZeroSSL 是一个证书品牌，通过 [ACME](https://ssl.sh/zh/glossary/acme/) 和网页控制台免费签发 90 天 DV 证书。它没有自己的根证书：中间 CA 由 [Sectigo](https://ssl.sh/zh/cas/sectigo/) 的根证书签发，浏览器信任 ZeroSSL 证书，是因为信任 Sectigo。国内用户接触 ZeroSSL 多半是因为 acme.sh：新装的 acme.sh 默认就向 ZeroSSL 申请证书。

## 所有者与总部

ZeroSSL 的服务条款写明签约方是 ZeroSSL GmbH，其中间证书的主题字段也是 C=AT（奥地利）、O=ZeroSSL GmbH。由于没有根证书，CCADB 中没有 ZeroSSL 的 CA 所有者记录，签发依托的是 Sectigo 的 CA 基础设施。

## 根证书

截至 2026 年 11 月，CCADB 中没有登记在 ZeroSSL 名下的 TLS 根证书。zerossl.com 自己网站返回的证书链是：中间证书“ZeroSSL ECC DV SSL CA 2”→ Sectigo Public Server Authentication Root E46，后者又由 USERTrust ECC Certification Authority 交叉签名。较早的中间证书如“ZeroSSL ECC Domain Secure Site CA”（2020–2030）直接由 USERTrust ECC Certification Authority 签发。这两张 Sectigo 根证书都被 Chrome、Mozilla、Apple 和微软信任。部署时要使用客户端下载的完整证书链（acme.sh 生成的 fullchain.cer），否则部分设备可能无法构建信任路径，详见[证书链](https://ssl.sh/zh/learn/certificate-chains/)。

## 证书产品

ZeroSSL 品牌目前只提供 DV 证书：90 天证书、年度证书（按 [SC-081v3](https://ssl.sh/zh/ballots/sc-081/)，其定价页说明必须在第 199 天前续签）、通配符和多域名证书，没有 OV、EV 产品。

## ACME 支持

ZeroSSL 的 ACME 地址是 `https://acme.zerossl.com/v2/DV90`，需要 EAB 凭据，可以在控制台或通过 API 创建；acme.sh 等客户端用邮箱注册账户时可以自动获取。从 2021 年 8 月的 acme.sh v3.0 起，ZeroSSL 是 acme.sh 新证书的默认 CA。宝塔面板等工具如果底层调用 acme.sh，也可能因此拿到 ZeroSSL 证书。

## 免费证书

ACME 方式可无限量免费签发 90 天证书，包括通配符。不用 ACME 的免费网页套餐包含 3 张 90 天证书。ZeroSSL 在文档中表示，会限制或封禁滥用服务的用户。

## 重大事件

我们没有找到专门针对 ZeroSSL 品牌的公开误签事故记录。对用户影响最大的变化是 2021 年 acme.sh 把默认 CA 换成 ZeroSSL，不少运维直到证书来源变了才发现自己没在用 Let's Encrypt。由于 ZeroSSL 依赖 Sectigo 的证书体系，Sectigo 的根证书调整（例如迁移到 R46/E46 根证书）也会影响 ZeroSSL 的证书链。


## 根证书（CCADB）

CCADB TLS Server Authentication 报告中没有登记在该机构名下的根证书，它签发的证书链到其他 CA 运营的根证书。

ZeroSSL 运营、但挂在其他 CA 根证书下的有效中间证书（CCADB 数据，括号里是有效中间证书数量）：

- Sectigo: 12

## CAA 记录

CCADB 登记了 7 个被 ZeroSSL 当前有效中间证书认可的 CAA 签发者域名。在域名的 CAA 里用其中任意一个写一条 issue 记录，就允许 ZeroSSL 为它签发证书。包含 CA 名称的域名排在前面，其余按认可它的有效中间证书数量排序。

```
example.com. CAA 0 issue "sectigo.com"
example.com. CAA 0 issue "affirmtrust.com"
example.com. CAA 0 issue "comodo.com"
```

## 审计信息

CCADB 没有 ZeroSSL 的审计记录，因为它在 TLS 报告里没有自己的根证书；它的证书由运营根证书的那家 CA 的审计覆盖。


## CP/CPS 文档

CCADB 没有为 ZeroSSL 的 TLS 根证书登记 CP/CPS 链接。


## 问题上报渠道

CCADB 没有登记 ZeroSSL 的问题上报地址。按基线要求，这些说明应写在 CA 的 CPS 第 1.5.2 节。


## 事故记录

加入 Mozilla 根证书计划的 CA 出了合规问题，要在 Mozilla Bugzilla 提交事故报告（产品 CA Program，组件 CA Certificate Compliance）。下面的链接搜索标题里含“ZeroSSL”这些词的报告： https://bugzilla.mozilla.org/buglist.cgi?query_format=advanced&product=CA+Program&component=CA+Certificate+Compliance&short_desc_type=allwords&short_desc=ZeroSSL&order=changeddate+DESC

## 常见问题

**为什么我用 acme.sh 申请的证书来自 ZeroSSL 而不是 Let's Encrypt？**

从 acme.sh v3.0（2021 年 8 月）起，ZeroSSL 是新证书的默认 CA。执行 `acme.sh --set-default-ca --server letsencrypt` 可以改回 Let's Encrypt，也可以在单次申请时加 `--server letsencrypt`。

**ZeroSSL 的兼容性和 Let's Encrypt 一样吗？**

ZeroSSL 证书链到 Sectigo 根证书，CCADB 显示这些根证书被 Chrome、Mozilla、Apple、微软信任，主流浏览器兼容性相当。如果要支持很老的设备，建议单独测试。

**允许 ZeroSSL 签发证书的 CAA 记录怎么写？**

写一条 example.com. CAA 0 issue "sectigo.com" 即可。CCADB 为 ZeroSSL 登记了 7 个认可的域名：sectigo.com、affirmtrust.com、comodo.com、comodoca.com、entrust.net、trust-provider.com、usertrust.com。

**ZeroSSL 有多少张根证书？**

没有自己的根证书：CCADB TLS 报告里没有登记在 ZeroSSL 名下的根证书。它运营的 12 张有效中间证书链到 Sectigo (12) 的根证书。

来源：CCADB 的 All Certificate Information（V5）、List of CAA Identifiers、List of CA problem reporting mechanisms 和 TLS Server Authentication 报告（ccadb.org/resources）。