WebTrust 审计 （WebTrust for CAs）

WebTrust for CAs 是一套由加拿大特许专业会计师协会（CPA Canada）管理、用于评估证书颁发机构的审计准则。不同准则分别覆盖 CA 的一般运营、TLS Baseline Requirements 及网络安全、EV、S/MIME 和代码签名。持证审计师出具覆盖一段时期（通常为一年）的审计报告，CA 再通过 CCADB 提交给各根证书计划。另一条主要途径是由合格评定机构执行的 ETSI 审计（EN 319 411），在欧洲 CA 中较常见。

为什么重要

根证书计划不可能亲自检查每一家 CA，因此要求 CA 每年接受审计且不能中断。审计出现空档、报告逾期，或者报告带有保留意见并列出问题，都可能导致限制甚至取消信任。对证书采购方来说，CA 当期的审计报告是少数能客观反映其运营水平的依据之一。不过审计结论只是根证书计划决策的输入，而不是决策本身。国内 CA 想让证书被主流浏览器直接信任，同样要通过 WebTrust 或 ETSI 审计；国内的电子认证服务许可是另一套体系，不能替代它。

例子

一个典型的审计周期：

审计期：  12 个月的 CA 运营
报告：    审计师对内部控制是否有效运行发表意见，并列出发现的例外事项
披露：    CA 把报告上传到 CCADB
审查：    根证书计划结合该 CA 的事件报告一并审阅

常见误区

• 网站挂着 WebTrust 标志就说明网站安全。 审计针对的是 CA 的运营，与使用其证书的网站本身无关。
• 通过审计就说明 CA 没有任何问题。 报告可能带保留意见、列出例外事项，根证书计划还会考虑审计之外的安全事件。
• WebTrust 是唯一被认可的审计。 主要根证书计划同样接受基于 ETSI 标准的审计。