根证书 · Actalis

Actalis TLS Server ECC Root CA 2025

Actalis TLS Server ECC Root CA 2025 是 Actalis 运营的根证书（ECDSA P-384，有效期至 2050-02-22，SHA-256 4EFAADA2）。按最新 CCADB 数据，4 个主流根存储中有 1 个信任它用于 TLS 服务器认证：Microsoft。

数据更新于 2026-11-10

根存储收录状态

根存储	状态	信任用于 TLS	TLS 不信任起始日	有附加限制
Chrome	未收录未收录	否	—	否
Mozilla	未收录未收录	否	—	否
Apple	未收录未收录	否	—	否
Microsoft	已收录已收录	是	—	否

CCADB 没有为 Actalis TLS Server ECC Root CA 2025 登记 EV 策略 OID。

未收录 Chrome

状态: 未收录

未收录 Mozilla

状态: 未收录

未收录 Apple

状态: 未收录

已收录 Microsoft

状态: 已收录
信任的扩展密钥用途: Server Authentication

“信任用于 TLS”指该根存储收录了这张根证书并开启服务器认证信任位（Mozilla 的 Websites、Apple 的 serverAuth、微软的 Server Authentication EKU）。微软“NotBefore”表示只信任某个截止日期之前签发的证书。“有附加限制”表示该根存储对它施加了额外约束。

详细信息

CA 所有者: Actalis
主题（Subject）: CN=Actalis TLS Server ECC Root CA 2025,O=Actalis S.p.A.,C=IT
SHA-256: 4EFAADA2543E1E02666998574B3BAD96AE264088FA5917F75D32E7A609D1869C
SHA-1（Windows 指纹）: FC2E01CE1F63A4A43F542BF2C1D8E612E1826FEB
SPKI SHA-256: CCA4EB68C98622E2264879B61562EAD139559C91FE6B6AB3081EB19631426855
生效时间: 2025-02-28
到期时间: 2050-02-22
密钥: ECDSA P-384
签名算法: ecdsa-with-SHA384
序列号: 3B1F6D5F9D28D851CA41F36F98EA56D1
国家/地区: IT
信任位（CCADB）: Server Authentication
EV 策略 OID（CCADB）: 未启用 EV · 可签发 TLS EV 证书: 否
测试网站: 有效证书: https://active.ssltest-dv-ecc-2025.actalis.it · 过期证书: https://expired.ssltest-dv-ecc-2025.actalis.it/ · 吊销证书: https://revoked.ssltest-dv-ecc-2025.actalis.it/
CCADB 记录编号: A012757
PEM: actalis-tls-server-ecc-root-ca-2025.pem

在 crt.sh 上查看这张证书

这张根证书签发的中间证书

CCADB 中没有登记由 Actalis TLS Server ECC Root CA 2025 直接签发的中间证书。

交叉签名

CCADB 中有 2 张证书与 Actalis TLS Server ECC Root CA 2025 的主题和公钥相同、签发者不同。服务器发送其中一张，就能让信任签发方根证书、却没有收录 Actalis TLS Server ECC Root CA 2025 的客户端也能建立证书链。

签发者	CA 所有者	到期时间	状态
Actalis Authentication Root CA crt.sh	Actalis	2030-09-22	有效
Actalis Authentication Root CA crt.sh	Actalis	2030-09-22	已吊销

CRL 和 OCSP 地址

根证书里写的地址

Actalis TLS Server ECC Root CA 2025 证书本身没有 CRL 分发点（CRL Distribution Points）扩展，也没有 OCSP（Authority Information Access）扩展。根证书通常如此：客户端直接信任它，不检查它自己的吊销状态。

该 CA 发布的完整 CRL（CCADB 登记）

http://crl13.actalis.it/Repository/tls-root-ecc-2025/getLastCRL

到期会怎样

Actalis TLS Server ECC Root CA 2025 的有效期到 2050-02-22，距本数据快照（2026-11-10）还有约 23.3 年。到期之后，会检查信任锚有效期的浏览器和操作系统不再接受以它结尾的证书链，只能链到它的证书都会验证失败。Android 是已知的例外：它不检查信任锚的到期日。

怎么查自己的设备信不信任它

每个平台都有自己的根存储。下面的命令按通用名（Actalis TLS Server ECC Root CA 2025）或指纹在本机查找 Actalis TLS Server ECC Root CA 2025。小标题里的根存储状态来自 CCADB 快照；如果设备的根存储没有更新，或者由管理员统一管理，实际结果可能不同。

macOS（Apple 根存储：未收录）

按通用名在系统根证书钥匙串里查找；-Z 参数会打印 SHA-256 哈希，必须和最后一行的指纹一致。

security find-certificate -a -c "Actalis TLS Server ECC Root CA 2025" -Z \
  /System/Library/Keychains/SystemRootCertificates.keychain | grep "SHA-256"
# SHA-256 hash: 4EFAADA2543E1E02666998574B3BAD96AE264088FA5917F75D32E7A609D1869C

Windows（微软根存储：已收录 · 信任用于 TLS）

Windows 用 SHA-1 指纹标识根证书。第三方根证书是通过“自动更新根证书”功能按需安装的，所以提示找不到也可能只是还没用到；用 certutil -generateSSTFromWU roots.sst 可以下载微软的完整列表。

certutil -verifystore Root FC2E01CE1F63A4A43F542BF2C1D8E612E1826FEB

Linux（ca-certificates 跟随 Mozilla：未收录）

Debian、Ubuntu、Fedora 和 RHEL 的 ca-certificates 软件包都取自 Mozilla 根存储。使用 p11-kit 的系统用 trust list 查；Debian 和 Ubuntu 可以直接搜索 PEM 合集文件。

# Fedora / RHEL / Arch (p11-kit)
trust list --filter=ca-anchors | grep -iF -A2 "Actalis TLS Server ECC Root CA 2025"
# Debian / Ubuntu (ca-certificates)
openssl crl2pkcs7 -nocrl -certfile /etc/ssl/certs/ca-certificates.crt \
  | openssl pkcs7 -print_certs -noout | grep -iF "Actalis TLS Server ECC Root CA 2025"

Java

Java 自带独立的 cacerts 密钥库；JDK 9 及以上支持 -cacerts 参数，默认密码是 changeit。用冒号分隔的 SHA-256 指纹搜索。

keytool -list -cacerts -storepass changeit | grep -i "4E:FA:AD:A2:54:3E:1E:02:66:69:98:57:4B:3B:AD:96:AE:26:40:88:FA:59:17:F7:5D:32:E7:A6:09:D1:86:9C"

Android

Android 的系统根存储由 Google 单独维护，不属于上面四个 CCADB 根存储。打开设置 → 安全和隐私 → 更多安全设置 → 加密与凭据 → 受信任的凭据 → 系统（不同厂商和版本的菜单名称略有不同），在 Actalis S.p.A. 下找 Actalis TLS Server ECC Root CA 2025。

我的网站链到哪张根证书？

列出服务器发送的证书链，比对最后一级签发者和这张根证书；用指纹可以确认本地保存的副本。

下载 PEM

# 显示服务器发送的每张证书的主题（s:）和签发者（i:）
openssl s_client -connect example.com:443 -servername example.com -showcerts </dev/null 2>/dev/null \
  | grep -E '^ *[0-9]+ s:|^ *i:'
# 查看下载的 PEM 文件的主题和 SHA-256 指纹
openssl x509 -in actalis-tls-server-ecc-root-ca-2025.pem -noout -subject -fingerprint -sha256
# sha256 Fingerprint=4E:FA:AD:A2:54:3E:1E:02:66:69:98:57:4B:3B:AD:96:AE:26:40:88:FA:59:17:F7:5D:32:E7:A6:09:D1:86:9C

常见问题

Actalis TLS Server ECC Root CA 2025 被 Chrome、Firefox、Safari 和 Windows 信任吗？

截至 2026-11-10，Microsoft 信任它用于 TLS 服务器认证，Chrome、Mozilla、Apple 不信任。

Actalis TLS Server ECC Root CA 2025 什么时候到期？

2050-02-22 到期，距 2026-11-10 的数据快照约 23.3 年。

Actalis TLS Server ECC Root CA 2025 签发了多少张中间证书？