QWAC （合格网站认证证书）

QWAC（Qualified Website Authentication Certificate）是欧盟 eIDAS 条例定义的网站认证证书，用来证明网站背后的法人或自然人身份。只有接受成员国监管机构监督、列入欧盟信任列表（Trusted List）的合格信任服务提供者（QTSP）才能签发，审核强度与 EV 证书相当。证书里带有 qcStatements 扩展，标明它是"合格"证书。

为什么重要

QWAC 让网站身份在欧盟范围内具有法律效力。在 PSD2 开放银行框架下，第三方支付服务商用 eIDAS 证书（包括 QWAC）向银行 API 证明身份，通常作为双向 TLS里的客户端证书使用，国内企业做欧洲支付、开放银行对接时常会碰到这一要求。Regulation (EU) 2024/1183 对 eIDAS 的修订在第 45 条中加入了要求浏览器承认 QWAC 的条款。这一规定因可能影响浏览器独立的根证书计划而引发广泛争论，具体如何落实取决于后续的实施细则和技术标准。

例子

银行 API（PSD2） <--- mTLS --->  第三方服务商
  银行校验客户端 QWAC：
  - 由欧盟信任列表中的 QTSP 签发
  - qcStatements 标明为合格网站证书
  - 组织标识与服务商牌照信息一致

常见误区

• QWAC 就是 EV 证书。 审核类似，但 QWAC 的地位来自欧盟法律和对 QTSP 的监管，而不是 CA/浏览器论坛的指南。
• QWAC 加密更强。 加密能力与普通 TLS 证书相同。
• 欧洲 CA 签发的证书都是 QWAC。 只有 QTSP 以"合格"身份签发的网站证书才是。