# QWAC（合格网站认证证书）是什么？定义、例子与常见误区

> QWAC 是欧盟 eIDAS 框架下由合格信任服务提供者签发、把网站与经核实的法人或自然人绑定的证书。

Source: https://ssl.sh/zh/glossary/qwac/
Last updated: 2026-11-10

QWAC（Qualified Website Authentication Certificate）是欧盟 [eIDAS](https://ssl.sh/zh/glossary/eidas/) 条例定义的网站认证证书，用来证明网站背后的法人或自然人身份。只有接受成员国监管机构监督、列入欧盟信任列表（Trusted List）的合格信任服务提供者（QTSP）才能签发，审核强度与 [EV 证书](https://ssl.sh/zh/glossary/ev-certificate/)相当。证书里带有 qcStatements 扩展，标明它是"合格"证书。

## 为什么重要
QWAC 让网站身份在欧盟范围内具有法律效力。在 PSD2 开放银行框架下，第三方支付服务商用 eIDAS 证书（包括 QWAC）向银行 API 证明身份，通常作为[双向 TLS](https://ssl.sh/zh/glossary/mtls/)里的客户端证书使用，国内企业做欧洲支付、开放银行对接时常会碰到这一要求。Regulation (EU) 2024/1183 对 eIDAS 的修订在第 45 条中加入了要求浏览器承认 QWAC 的条款。这一规定因可能影响浏览器独立的[根证书计划](https://ssl.sh/zh/glossary/root-program/)而引发广泛争论，具体如何落实取决于后续的实施细则和技术标准。

## 例子
```text
银行 API（PSD2） <--- mTLS --->  第三方服务商
  银行校验客户端 QWAC：
  - 由欧盟信任列表中的 QTSP 签发
  - qcStatements 标明为合格网站证书
  - 组织标识与服务商牌照信息一致
```

## 常见误区
- **QWAC 就是 EV 证书。** 审核类似，但 QWAC 的地位来自欧盟法律和对 QTSP 的监管，而不是 CA/浏览器论坛的指南。
- **QWAC 加密更强。** 加密能力与普通 TLS 证书相同。
- **欧洲 CA 签发的证书都是 QWAC。** 只有 QTSP 以"合格"身份签发的网站证书才是。

## 相关术语

- [eIDAS](https://ssl.sh/zh/glossary/eidas/): eIDAS 是欧盟关于电子身份识别和信任服务的条例，为电子签名、电子印章、时间戳和网站认证等提供统一的法律规则。
- [EV 证书](https://ssl.sh/zh/glossary/ev-certificate/): EV 证书是按照 CA/浏览器论坛《EV 指南》完成最严格身份审核后签发的 TLS 证书。
- [mTLS](https://ssl.sh/zh/glossary/mtls/): mTLS 是服务器和客户端在握手中都用 X.509 证书向对方证明身份的 TLS，也叫双向 TLS 认证。
- [客户端证书](https://ssl.sh/zh/glossary/client-certificate/): 客户端证书是 TLS 客户端在握手时出示、用来向服务器证明自身身份的 X.509 证书。
- [根证书计划](https://ssl.sh/zh/glossary/root-program/): 根证书计划是浏览器或操作系统厂商用来决定其信任库收录、限制或移除哪些根 CA 的政策与流程。
- [信任库](https://ssl.sh/zh/glossary/trust-store/): 信任库是操作系统、浏览器或编程语言运行时内置的一组根 CA 证书，验证证书链时以它们作为信任锚。
- [证书颁发机构](https://ssl.sh/zh/glossary/certificate-authority/): 证书颁发机构（CA）是负责审核申请者、签发数字证书，并把公钥与域名或身份绑定在一起的机构。