# WebTrust 审计是什么？定义、例子与常见误区

> WebTrust 审计是由持证审计师依据 CA/B 论坛和根证书计划要求检查 CA 内部控制的审计框架，全称 WebTrust for CAs。

Source: https://ssl.sh/zh/glossary/webtrust/
Last updated: 2026-11-10

WebTrust for CAs 是一套由加拿大特许专业会计师协会（CPA Canada）管理、用于评估证书颁发机构的审计准则。不同准则分别覆盖 CA 的一般运营、TLS [Baseline Requirements](https://ssl.sh/zh/glossary/baseline-requirements/) 及网络安全、EV、S/MIME 和代码签名。持证审计师出具覆盖一段时期（通常为一年）的审计报告，CA 再通过 [CCADB](https://ssl.sh/zh/glossary/ccadb/) 提交给各根证书计划。另一条主要途径是由合格评定机构执行的 ETSI 审计（EN 319 411），在欧洲 CA 中较常见。

## 为什么重要
根证书计划不可能亲自检查每一家 CA，因此要求 CA 每年接受审计且不能中断。审计出现空档、报告逾期，或者报告带有保留意见并列出问题，都可能导致限制甚至[取消信任](https://ssl.sh/zh/glossary/distrust/)。对证书采购方来说，CA 当期的审计报告是少数能客观反映其运营水平的依据之一。不过审计结论只是根证书计划决策的输入，而不是决策本身。国内 CA 想让证书被主流浏览器直接信任，同样要通过 WebTrust 或 ETSI 审计；国内的电子认证服务许可是另一套体系，不能替代它。

## 例子
一个典型的审计周期：

```text
审计期：  12 个月的 CA 运营
报告：    审计师对内部控制是否有效运行发表意见，并列出发现的例外事项
披露：    CA 把报告上传到 CCADB
审查：    根证书计划结合该 CA 的事件报告一并审阅
```

## 常见误区
- **网站挂着 WebTrust 标志就说明网站安全。** 审计针对的是 CA 的运营，与使用其证书的网站本身无关。
- **通过审计就说明 CA 没有任何问题。** 报告可能带保留意见、列出例外事项，根证书计划还会考虑审计之外的安全事件。
- **WebTrust 是唯一被认可的审计。** 主要根证书计划同样接受基于 ETSI 标准的审计。

## 相关术语

- [证书颁发机构](https://ssl.sh/zh/glossary/certificate-authority/): 证书颁发机构（CA）是负责审核申请者、签发数字证书，并把公钥与域名或身份绑定在一起的机构。
- [Baseline Requirements](https://ssl.sh/zh/glossary/baseline-requirements/): Baseline Requirements 是 CA/B 论坛制定的基线要求，规定公开信任的 CA 在验证、签发和吊销 TLS 服务器证书时必须遵守的规则。
- [根证书计划](https://ssl.sh/zh/glossary/root-program/): 根证书计划是浏览器或操作系统厂商用来决定其信任库收录、限制或移除哪些根 CA 的政策与流程。
- [CCADB](https://ssl.sh/zh/glossary/ccadb/): CCADB 是通用 CA 数据库，CA 在这里向各根证书计划披露其根证书、中间证书、审计报告、政策文件和 CRL 地址。
- [EV 证书](https://ssl.sh/zh/glossary/ev-certificate/): EV 证书是按照 CA/浏览器论坛《EV 指南》完成最严格身份审核后签发的 TLS 证书。
- [CA/B 论坛](https://ssl.sh/zh/glossary/ca-browser-forum/): CA/B 论坛是证书颁发机构与浏览器厂商组成的自愿性行业组织，负责制定公开信任证书必须遵守的基线规则。