# 根证书计划（Root Program）是什么？

> 根证书计划是浏览器或操作系统厂商用来决定其信任库收录、限制或移除哪些根 CA 的政策与流程。

Source: https://ssl.sh/zh/glossary/root-program/
Last updated: 2026-11-10

根证书计划（Root Program）是软件厂商管理自家[信任库](https://ssl.sh/zh/glossary/trust-store/)所用的一整套政策、审核和执行手段。主要的几家由 Mozilla（Firefox 和许多 Linux 发行版使用其列表）、Google（Chrome Root Program）、Apple 和 Microsoft 运营。CA 申请加入时，要通过 [CCADB](https://ssl.sh/zh/glossary/ccadb/) 提交审计报告和披露信息，并同时遵守 CA/B 论坛的 Baseline Requirements 和各计划自己往往更严格的政策。

## 为什么重要
真正决定 CA 的证书能否被浏览器接受的是根证书计划，而不是 CA/B 论坛。Chrome Root Program Policy v1.8 就是当前的例子：2026-06-15 起 Chrome 开始逐步淘汰并非专用于 TLS 服务器认证的 PKI 体系，此后新披露的下级 CA 只能声明 serverAuth；2027-03-15 及以后签发的订户证书只能包含 serverAuth 这一种 EKU。密钥材料超过 15 年的根证书也会按计划移除。CA 达不到要求时，根证书计划可以[取消信任](https://ssl.sh/zh/glossary/distrust/)，例如 Chrome 不再信任最早 SCT 晚于 2024-11-11 的 Entrust 证书。

## 例子
同一张证书可能在一个客户端里受信任、在另一个里不受信任。如果某个根证书仍在 Mozilla 的列表中但已被 Chrome 移除，Firefox 能正常打开网站，Chrome 则显示 NET::ERR_CERT_AUTHORITY_INVALID。Debian 和 Ubuntu 的 ca-certificates 包基于 Mozilla 的列表生成，所以这些系统上的 curl 跟随 Mozilla 的决定。国内服务器上 Java 应用、老旧 Android 设备的信任库更新较慢，排查时要分别查看。

## 常见误区
- **全世界只有一份受信任 CA 名单。** 每家厂商各自维护，彼此并不完全相同。
- **Chrome 一直使用操作系统的根证书。** Chrome 现在在大多数平台上使用自带的 Chrome Root Store。
- **一旦收录就永久有效。** 根证书会因密钥年限、政策变化或安全事件被移除。

## 相关术语

- [信任库](https://ssl.sh/zh/glossary/trust-store/): 信任库是操作系统、浏览器或编程语言运行时内置的一组根 CA 证书，验证证书链时以它们作为信任锚。
- [根证书](https://ssl.sh/zh/glossary/root-certificate/): 根证书是位于证书链顶端、由 CA 自签名的证书，预装在操作系统或浏览器的信任库中，作为验证其他证书的信任锚。
- [证书颁发机构](https://ssl.sh/zh/glossary/certificate-authority/): 证书颁发机构（CA）是负责审核申请者、签发数字证书，并把公钥与域名或身份绑定在一起的机构。
- [CA/B 论坛](https://ssl.sh/zh/glossary/ca-browser-forum/): CA/B 论坛是证书颁发机构与浏览器厂商组成的自愿性行业组织，负责制定公开信任证书必须遵守的基线规则。
- [CCADB](https://ssl.sh/zh/glossary/ccadb/): CCADB 是通用 CA 数据库，CA 在这里向各根证书计划披露其根证书、中间证书、审计报告、政策文件和 CRL 地址。
- [取消信任](https://ssl.sh/zh/glossary/distrust/): 取消信任是根证书计划作出的决定：不再信任某家 CA 的证书，可能是全部证书，也可能只针对截止日期之后签发的证书。
- [WebTrust 审计](https://ssl.sh/zh/glossary/webtrust/): WebTrust 审计是由持证审计师依据 CA/B 论坛和根证书计划要求检查 CA 内部控制的审计框架，全称 WebTrust for CAs。