Comodo 和 Sectigo：同一家证书机构

Comodo 和 Sectigo 不是两家竞争的公司：Sectigo 就是 Comodo CA 改名后的名字。私募基金 Francisco Partners 在 2017 年 10 月从 Comodo Group 手里买下了证书业务，2018 年 11 月 1 日宣布改名 Sectigo。PositiveSSL、EssentialSSL、InstantSSL 这些产品名都保留了下来，所以现在挂着“Comodo SSL”卖的证书，实际都是 Sectigo 签发的。2026 年 11 月 10 日我们核实到最便宜的是 GoGetSSL 的 PositiveSSL，$16.00。

价格均于 2026 年 11 月 10 日在卖家官网核实，价格经常变，一切以商家结账页为准。

从 Comodo CA 到 Sectigo：时间线

这家 CA 在 2017 年 10 月易主，2018 年 11 月 1 日改名，2019 年 1 月 14 日起改用 Sectigo 品牌中间证书签发新证书。

为什么改名

Sectigo 在公告里说，改名是为了“减少市场混淆”，并更好地体现产品方向。改名正好在被收购一周年时完成。证书业务是从 Comodo Group 剥离出来的，而 Comodo Group 是另一家公司；不改名的话，两家独立的公司就会共用 Comodo 这个名字。所以今天看到“Comodo”这个名字，要分清说的是 Comodo Group，还是已经改名为 Sectigo 的证书业务。

改名前后的两件大事

改名前后最常被提起的两件事，是 2011 年的欺诈证书事件和 2025 年收购 Entrust 公共证书业务。

第一件是 2011 年 3 月的欺诈证书事件。Mozilla 安全博客当时说明，Comodo 通报有若干张冒充公共网站的欺诈证书被签发出去，Comodo 已经吊销这些证书，Mozilla 也给 Firefox 4.0、3.6、3.5 推送了更新，把它们直接拉黑。这件事发生在改名之前七年多，Sectigo 的改名公告也没有提到它，但它至今仍常被拿来讨论公共 CA 体系的风险。

第二件是 2025 年的收购。Sectigo 在 2025 年 1 月 29 日宣布买下 Entrust 的公共证书业务，称这让它的企业业务规模翻了一倍。改名之后，Sectigo 仍在通过收购扩张。

技术上改了什么

对证书用户来说改动很小。Sectigo 2019 年 1 月的通知说，原有证书、中间证书和根证书都继续有效并受信任，新证书改由长期存在的 USERTrust 根下的 Sectigo 品牌中间证书签发。Sectigo 的证书链文档里至今同时列着两套名字：

• 根证书： USERTrust RSA Certification Authority 和 COMODO RSA Certification Authority，都在 2038 年 1 月到期；还有更早的 AAA Certificate Services，2028 年 1 月到期。
• 中间证书： “Sectigo RSA DV/OV/EV Secure Server CA”，以及更早的“Comodo RSA DV/OV/EV Secure Server CA”。

所以用我们的证书解析工具查看证书链时，看到 COMODO 或 AAA Certificate Services 都正常，并不代表证书过时或不受信任，只是客户端选了哪条交叉签名路径。客户端怎么选路径，见证书链原理。

出过问题的是 2020 年：AddTrust External CA Root 在 2020 年 5 月 30 日到期。Sectigo 的说明是，近几年更新过的浏览器和系统不受影响，但信任库里只有 AddTrust 的老客户端会报警告，直到更新根证书。如果你的服务器还在发送 AddTrust 交叉证书，删掉它，改用 CA 当前提供的证书链。

CAA 记录：写 sectigo.com

如果域名设置了 CAA 记录，买 PositiveSSL、EssentialSSL、InstantSSL 或其他 Sectigo 证书时，记录里必须允许 Sectigo。Sectigo 知识库列出的值是 sectigo.com、trust-provider.com 和 usertrust.com。它的 TLS CP/CPS（6.2.3 版）还写明，comodo.com 和 comodoca.com 在过渡期内仍被承认，但已经弃用，应尽快替换。最稳妥的写法是 example.com. CAA 0 issue "sectigo.com"，在 DNSPod、阿里云 DNS 控制台里添加类型为 CAA 的记录即可，改完可以用 CAA 检查工具确认。

Comodo 时代的产品名现在卖多少钱

老产品名在 Sectigo 旗下继续使用，经销商也还在沿用。Sectigo 自己的 CP/CPS 把 positivessl.com、instantssl.com 列为官方网站，有些经销商的产品网址里至今还带着 comodo。2026 年 11 月 10 日核实的 1 年期价格：

Namecheap 已经不再签发这些产品。2026 年 7 月 11 日起，它的 PositiveSSL、EssentialSSL 改名为 Standard SSL，InstantSSL、PremiumSSL 改名为 High Assurance SSL，都由 SSL.com 签发。在 Namecheap 买过的 Sectigo 证书照常可用，重签时也仍由 Sectigo 签发。

老配置的清理清单

如果你的服务器或 DNS 是在 Comodo 时代配置的，下次续期前花几分钟清理一下：

1. CAA： 把 comodoca.com 或 comodo.com 换成 sectigo.com，别等过渡期结束才发现签不了证书。
2. 证书链文件： 删掉 AddTrust External CA Root 交叉证书，改用当前证书附带的证书链，再用 SSL 检测工具确认。
3. 应用自带的证书库： 有些程序不用操作系统的信任库，而是自带一份 CA 列表，要确认里面有 USERTrust 根证书。
4. 续期计划： 决定继续用 Sectigo，还是换别的 CA 或免费 ACME 证书，并相应修改 CAA。

和其他 CA 比

既然是同一家公司，要比的是 Sectigo 和其他 CA。按我们的价格数据，验证级别相同时，Sectigo 的低价品牌比 DigiCert 旗下品牌便宜，而 Namecheap 由 SSL.com 签发的产品首年价更低；SSL.com 也直接零售。逐项对比见 Sectigo 和 DigiCert 怎么选和 PositiveSSL 和 RapidSSL 怎么选。

不论买哪家，有效期限制都一样：2026 年 3 月 15 日起公网 TLS 证书单张最长 200 天，2027 年 3 月 15 日起 100 天，2029 年 3 月 15 日起 47 天。买“多年期”的 Sectigo 证书，实际上是带多次重签的订阅。