# CCADB（通用 CA 数据库）是什么？定义、例子与常见误区

> CCADB 是通用 CA 数据库，CA 在这里向各根证书计划披露其根证书、中间证书、审计报告、政策文件和 CRL 地址。

Source: https://ssl.sh/zh/glossary/ccadb/
Last updated: 2026-11-10

CCADB（Common CA Database，通用 CA 数据库）由 Mozilla 创建，现在由 Mozilla、Microsoft、Google、Apple 等主要[根证书计划](https://ssl.sh/zh/glossary/root-program/)共同使用。CA 要在其中登记每一张链到已收录根证书的根证书和[中间证书](https://ssl.sh/zh/glossary/intermediate-certificate/)，并附上审计报告、CP/CPS 文档以及完整 CRL 的地址。根证书计划借助它统一审核收录申请、跟踪审计期限、管理 CA 资料。

## 为什么重要
披露制度让 Web PKI 里的中间证书变成一份任何人都能核对的清单。一张能链到受信任根证书、却没有在 CCADB 中披露的中间证书，本身就构成合规事件；根证书计划在决定是否继续信任某家 CA 时，也会查阅存放在这里的审计报告。CA 在 CCADB 中披露的 CRL 地址，正是 Mozilla 构建 [CRLite](https://ssl.sh/zh/glossary/crlite/) 的数据来源。SC-063 投票让 CRL 成为强制项之后，这一点更加重要。

## 例子
先取出证书链中某张陌生中间证书的 SHA-256 指纹：

```bash
openssl x509 -in intermediate.pem -noout -fingerprint -sha256
```

再用这个指纹在 CCADB 公开的报告里检索，就能看到它由哪家 CA 运营、对应的审计报告，以及它是否受技术约束或已被吊销。排查国内厂商代理销售的证书来自哪家 CA 时，这个方法也很直接。

## 常见误区
- **CCADB 就是信任库。** 被登记不等于被信任，每家厂商仍然自行决定收录哪些根证书。
- **只登记根证书。** 每张能签发公开信任证书的中间证书也都必须披露。
- **CCADB 由 CA/B 论坛运营。** 它为各根证书计划服务，与论坛是相互独立的。

## 相关术语

- [根证书计划](https://ssl.sh/zh/glossary/root-program/): 根证书计划是浏览器或操作系统厂商用来决定其信任库收录、限制或移除哪些根 CA 的政策与流程。
- [证书颁发机构](https://ssl.sh/zh/glossary/certificate-authority/): 证书颁发机构（CA）是负责审核申请者、签发数字证书，并把公钥与域名或身份绑定在一起的机构。
- [下级 CA](https://ssl.sh/zh/glossary/subordinate-ca/): 下级 CA 是 CA 证书由另一个 CA（通常是根 CA）签发的证书颁发机构，一般负责实际签发终端证书。
- [WebTrust 审计](https://ssl.sh/zh/glossary/webtrust/): WebTrust 审计是由持证审计师依据 CA/B 论坛和根证书计划要求检查 CA 内部控制的审计框架，全称 WebTrust for CAs。
- [CRL](https://ssl.sh/zh/glossary/crl/): CRL 是由 CA 签名并定期重新发布的证书吊销列表，列出它在证书到期前就已吊销的证书序列号。
- [CRLite](https://ssl.sh/zh/glossary/crlite/): CRLite 是 Mozilla 为 Firefox 打造的压缩吊销数据集，浏览器无需联系 CA，就能在本地判断公开记录的证书是否已被吊销。
- [中间证书](https://ssl.sh/zh/glossary/intermediate-certificate/): 中间证书是由根证书（或上级中间证书）签发、用来签发网站证书的 CA 证书，服务器必须把它和网站证书一起发送给客户端。