# 取消信任（CA Distrust）是什么？定义、例子与常见误区

> 取消信任是根证书计划作出的决定：不再信任某家 CA 的证书，可能是全部证书，也可能只针对截止日期之后签发的证书。

Source: https://ssl.sh/zh/glossary/distrust/
Last updated: 2026-11-10

取消信任（Distrust）是[根证书计划](https://ssl.sh/zh/glossary/root-program/)能采取的最严厉处罚。轻重不一：重的是把根证书从信任库中移除，其下所有证书立即失效；轻的是“部分取消信任”，已签发的证书继续可用、新证书被拒绝，判定依据常常是证书中最早一条 [SCT](https://ssl.sh/zh/glossary/sct/) 的时间，因为 CT 日志签下的时间 CA 无法倒签。这类决定通常源于长期的合规问题、[错误签发](https://ssl.sh/zh/glossary/misissuance/)或私钥、中间 CA 被攻破。

## 为什么重要
几起典型案例：Symantec：Chrome 66（2018 年 4 月）不再信任 2016-06-01 之前签发的 Symantec 证书，Chrome 70（2018 年 10 月）彻底不信任旧 Symantec PKI。Entrust：Chrome 131 起不信任最早 SCT 晚于 2024-11-11 的 Entrust TLS 证书，Mozilla 的截止日期是 2024-11-30，Apple 是 2024-11-15；之后 Sectigo 收购了 Entrust 的公共证书业务（2025-01-29 宣布）。中华电信（Chunghwa Telecom）和 NetLock：Chrome 139 起不信任其 SCT 晚于 2025-07-31 的证书。eMudhra：2026-10-20 Google 和 Mozilla 确认 eMudhra 的中间 CA 遭到攻破，Chrome 移除了“emSign ECC Root CA - G3”根证书，于 2026-10-27 推送生效。选定 CA 并非一劳永逸，自动化流程要能随时切换 CA。

## 例子
某网站在截止日期之后向受影响的 CA 续期，使用该浏览器的访客看到 NET::ERR_CERT_AUTHORITY_INVALID，而同一 CA 之前签发的证书、以及其他浏览器都正常，排查时很容易让人困惑。

## 常见误区
- **取消信任会让该 CA 的所有证书立即失效。** 部分取消信任时，截止日期前签发的证书可以用到过期。
- **通过代理商或云平台购买就不受影响。** 代理商卖的证书仍由背后的某家 CA 签发，CA 被取消信任，证书同样失效。
- **犯一次错就会被取消信任。** 多数案例源于一连串事件和处置不力，或是严重的安全攻破。

## 相关术语

- [根证书计划](https://ssl.sh/zh/glossary/root-program/): 根证书计划是浏览器或操作系统厂商用来决定其信任库收录、限制或移除哪些根 CA 的政策与流程。
- [证书颁发机构](https://ssl.sh/zh/glossary/certificate-authority/): 证书颁发机构（CA）是负责审核申请者、签发数字证书，并把公钥与域名或身份绑定在一起的机构。
- [SCT](https://ssl.sh/zh/glossary/sct/): SCT 是 CT 日志签发的承诺凭证，表示它会把某张证书收录进公开日志，浏览器以此确认证书已提交记录。
- [错误签发](https://ssl.sh/zh/glossary/misissuance/): 错误签发是指 CA 违反 Baseline Requirements 或根证书计划政策签发证书，从验证缺陷到字段格式错误都算在内。
- [信任库](https://ssl.sh/zh/glossary/trust-store/): 信任库是操作系统、浏览器或编程语言运行时内置的一组根 CA 证书，验证证书链时以它们作为信任锚。
- [证书透明度](https://ssl.sh/zh/glossary/certificate-transparency/): 证书透明度（CT）是一套公开、只可追加的日志系统，记录所有公开信任的 TLS 证书，让任何人都能审计 CA 签发了什么。
- [根证书](https://ssl.sh/zh/glossary/root-certificate/): 根证书是位于证书链顶端、由 CA 自签名的证书，预装在操作系统或浏览器的信任库中，作为验证其他证书的信任锚。