根证书计划 （Root Program）

根证书计划（Root Program）是软件厂商管理自家信任库所用的一整套政策、审核和执行手段。主要的几家由 Mozilla（Firefox 和许多 Linux 发行版使用其列表）、Google（Chrome Root Program）、Apple 和 Microsoft 运营。CA 申请加入时，要通过 CCADB 提交审计报告和披露信息，并同时遵守 CA/B 论坛的 Baseline Requirements 和各计划自己往往更严格的政策。

为什么重要

真正决定 CA 的证书能否被浏览器接受的是根证书计划，而不是 CA/B 论坛。Chrome Root Program Policy v1.8 就是当前的例子：2026-06-15 起 Chrome 开始逐步淘汰并非专用于 TLS 服务器认证的 PKI 体系，此后新披露的下级 CA 只能声明 serverAuth；2027-03-15 及以后签发的订户证书只能包含 serverAuth 这一种 EKU。密钥材料超过 15 年的根证书也会按计划移除。CA 达不到要求时，根证书计划可以取消信任，例如 Chrome 不再信任最早 SCT 晚于 2024-11-11 的 Entrust 证书。

例子

同一张证书可能在一个客户端里受信任、在另一个里不受信任。如果某个根证书仍在 Mozilla 的列表中但已被 Chrome 移除，Firefox 能正常打开网站，Chrome 则显示 NET::ERR_CERT_AUTHORITY_INVALID。Debian 和 Ubuntu 的 ca-certificates 包基于 Mozilla 的列表生成，所以这些系统上的 curl 跟随 Mozilla 的决定。国内服务器上 Java 应用、老旧 Android 设备的信任库更新较慢，排查时要分别查看。

常见误区

• 全世界只有一份受信任 CA 名单。 每家厂商各自维护，彼此并不完全相同。
• Chrome 一直使用操作系统的根证书。 Chrome 现在在大多数平台上使用自带的 Chrome Root Store。
• 一旦收录就永久有效。 根证书会因密钥年限、政策变化或安全事件被移除。