取消信任 （CA Distrust）
定义
取消信任是根证书计划作出的决定：不再信任某家 CA 的证书，可能是全部证书，也可能只针对截止日期之后签发的证书。
取消信任（Distrust）是根证书计划能采取的最严厉处罚。轻重不一：重的是把根证书从信任库中移除，其下所有证书立即失效；轻的是“部分取消信任”，已签发的证书继续可用、新证书被拒绝，判定依据常常是证书中最早一条 SCT 的时间，因为 CT 日志签下的时间 CA 无法倒签。这类决定通常源于长期的合规问题、错误签发或私钥、中间 CA 被攻破。
为什么重要
几起典型案例：Symantec：Chrome 66（2018 年 4 月）不再信任 2016-06-01 之前签发的 Symantec 证书，Chrome 70（2018 年 10 月）彻底不信任旧 Symantec PKI。Entrust：Chrome 131 起不信任最早 SCT 晚于 2024-11-11 的 Entrust TLS 证书，Mozilla 的截止日期是 2024-11-30，Apple 是 2024-11-15；之后 Sectigo 收购了 Entrust 的公共证书业务（2025-01-29 宣布）。中华电信（Chunghwa Telecom）和 NetLock：Chrome 139 起不信任其 SCT 晚于 2025-07-31 的证书。eMudhra：2026-10-20 Google 和 Mozilla 确认 eMudhra 的中间 CA 遭到攻破，Chrome 移除了“emSign ECC Root CA - G3”根证书，于 2026-10-27 推送生效。选定 CA 并非一劳永逸，自动化流程要能随时切换 CA。
例子
某网站在截止日期之后向受影响的 CA 续期，使用该浏览器的访客看到 NET::ERR_CERT_AUTHORITY_INVALID，而同一 CA 之前签发的证书、以及其他浏览器都正常，排查时很容易让人困惑。
常见误区
- 取消信任会让该 CA 的所有证书立即失效。 部分取消信任时，截止日期前签发的证书可以用到过期。
- 通过代理商或云平台购买就不受影响。 代理商卖的证书仍由背后的某家 CA 签发，CA 被取消信任，证书同样失效。
- 犯一次错就会被取消信任。 多数案例源于一连串事件和处置不力，或是严重的安全攻破。