根证书 · Amazon Trust Services
Starfield Services Root Certificate Authority - G2
Starfield Services Root Certificate Authority - G2 是 Amazon Trust Services 运营的根证书（RSA 2048，有效期至 2037-12-31，SHA-256 568D6905）。按最新 CCADB 数据，4 个主流根存储中有 3 个信任它用于 TLS 服务器认证：Mozilla, Apple, Microsoft。
根存储收录状态
| 根存储 | 状态 | 信任用于 TLS | TLS 不信任起始日 | 有附加限制 |
|---|---|---|---|---|
| Chrome | 已移除 已移除 | 否 | — | 否 |
| Mozilla | 已收录 已收录 | 是 | — | 否 |
| Apple | 已收录 已收录 | 是 | — | 是 |
| Microsoft | 已收录 已收录 | 是 | — | 是 |
CCADB 为这张根证书登记了 EV 策略 OID 2.23.140.1.1、2.16.840.1.114414.1.7.24.3，但 Mozilla 没有为它启用 EV。
已移除 Chrome
- 状态
- 已移除
已收录 Mozilla
- 状态
- 已收录
- 信任位
- Websites
- EV 策略 OID
- 未启用 EV
- 首次收录版本
- NSS 3.12.10 / Firefox 6.0
- 收录申请 bug
- #1172401
已收录 Apple
- 状态
- 已收录
- 信任位
- serverAuth、clientAuth
- 允许的用途
- Server Authentication、Client Authentication、Code Signing、Timestamp Signing
已收录 Microsoft
- 状态
- 已收录
- 信任的扩展密钥用途
- Server Authentication、Client Authentication、Code Signing、Encrypting File System、IP Security Tunnel Termination、IP Security User、Secure Email、Time Stamping
- NotBefore 截止
- 2021-08-01 (Code Signing)
“信任用于 TLS”指该根存储收录了这张根证书并开启服务器认证信任位（Mozilla 的 Websites、Apple 的 serverAuth、微软的 Server Authentication EKU）。微软“NotBefore”表示只信任某个截止日期之前签发的证书。“有附加限制”表示该根存储对它施加了额外约束。
详细信息
- CA 所有者
- Amazon Trust Services
- 主题（Subject）
- CN=Starfield Services Root Certificate Authority - G2,O=Starfield Technologies\, Inc.,L=Scottsdale,ST=Arizona,C=US
- SHA-256
568D6905A2C88708A4B3025190EDCFEDB1974A606A13C6E5290FCB2AE63EDAB5- SHA-1（Windows 指纹）
925A8F8D2C6D04E0665F596AFF22D863E8256F3F- SPKI SHA-256
2B071C59A0A0AE76B0EADB2BAD23BAD4580B69C3601B630C2EAF0613AFA83F92- 生效时间
- 2009-09-01
- 到期时间
- 2037-12-31
- 密钥
- RSA 2048
- 签名算法
- sha256WithRSAEncryption
- 序列号
0- 国家/地区
- US
- 信任位（CCADB）
- Server Authentication、Client Authentication、Secure Email、Encrypting File System、Time Stamping、IP Security Tunnel Termination、IP Security User
- EV 策略 OID（CCADB）
- 2.23.140.1.1、2.16.840.1.114414.1.7.24.3 · 可签发 TLS EV 证书: 是
- 测试网站
- 有效证书:
https://good.sca0a.amazontrust.com/· 过期证书:https://expired.sca0a.amazontrust.com/· 吊销证书:https://revoked.sca0a.amazontrust.com/ - CCADB 记录编号
- A000195
- PEM
- amazon-starfield-services-root-ca-g2.pem
这张根证书签发的中间证书
CCADB 登记了 10 张由 Starfield Services Root Certificate Authority - G2 直接签发的中间证书：8 张仍有效，0 张已过期，2 张已吊销（含上级证书被吊销的）。
下表列出其中 10 张（共 10 张）：有效的排在前面，按签发时间从新到旧。名称链接到 crt.sh 上对应 SHA-256 的记录；箭头表示它是本站另一张根证书的交叉签名。
| 中间证书 | 运营者 | 到期时间 | 状态 |
|---|---|---|---|
| Amazon SFG2 N2 ECDSA 256 Root M1 | Amazon Trust Services | 2037-12-30 | 有效 |
| Amazon SFG2 N2 RSA 2048 Root M1 | Amazon Trust Services | 2037-12-30 | 有效 |
| Amazon SFG2 N2 ECDSA 384 Root M1 | Amazon Trust Services | 2037-12-30 | 有效 |
| Amazon Root CA 1 → Amazon Root CA 1 | Amazon Trust Services | 2037-12-31 | 有效 |
| Amazon Root CA 2 → Amazon Root CA 2 | Amazon Trust Services | 2037-12-31 | 有效 |
| Amazon Root CA 1 → Amazon Root CA 1 | Amazon Trust Services | 2037-12-31 | 有效 |
| Amazon Root CA 4 → Amazon Root CA 4 | Amazon Trust Services | 2037-12-31 | 有效 |
| Amazon Root CA 3 → Amazon Root CA 3 | Amazon Trust Services | 2037-12-31 | 有效 |
| Amazon | Amazon | 2025-10-19 | 已吊销 |
| Amazon | Amazon Trust Services | 2040-10-21 | 已吊销 |
交叉签名
CCADB 中有 2 张证书与 Starfield Services Root Certificate Authority - G2 的主题和公钥相同、签发者不同。服务器发送其中一张，就能让信任签发方根证书、却没有收录 Starfield Services Root Certificate Authority - G2 的客户端也能建立证书链。
| 签发者 | CA 所有者 | 到期时间 | 状态 |
|---|---|---|---|
| Starfield Class 2 Certification Authority crt.sh | GoDaddy | 2034-06-28 | 有效 |
| Starfield Class 2 Certification Authority crt.sh | GoDaddy | 2034-06-28 | 有效 |
CRL 和 OCSP 地址
根证书里写的地址
Starfield Services Root Certificate Authority - G2 证书本身没有 CRL 分发点（CRL Distribution Points）扩展，也没有 OCSP（Authority Information Access）扩展。根证书通常如此：客户端直接信任它，不检查它自己的吊销状态。
该 CA 发布的完整 CRL（CCADB 登记）
http://crl.rootg2.amazontrust.com/rootg2.crl
它签发的中间证书里写的地址
下面是 Starfield Services Root Certificate Authority - G2 签发的 8 张有效中间证书在 CRL 分发点和 OCSP 字段里写的地址，括号里是使用该地址的中间证书数量。
- CRL:
http://crl.rootg2.amazontrust.com/rootg2.crl(8) - OCSP:
http://ocsp.rootg2.amazontrust.com(8)
到期会怎样
Starfield Services Root Certificate Authority - G2 的有效期到 2037-12-31，距本数据快照（2026-11-10）还有约 11.1 年。到期之后，会检查信任锚有效期的浏览器和操作系统不再接受以它结尾的证书链，只能链到它的证书都会验证失败。Android 是已知的例外：它不检查信任锚的到期日。
怎么查自己的设备信不信任它
每个平台都有自己的根存储。下面的命令按通用名（Starfield Services Root Certificate Authority - G2）或指纹在本机查找 Starfield Services Root Certificate Authority - G2。小标题里的根存储状态来自 CCADB 快照；如果设备的根存储没有更新，或者由管理员统一管理，实际结果可能不同。
macOS（Apple 根存储：已收录 · 信任用于 TLS）
按通用名在系统根证书钥匙串里查找；-Z 参数会打印 SHA-256 哈希，必须和最后一行的指纹一致。
security find-certificate -a -c "Starfield Services Root Certificate Authority - G2" -Z \
/System/Library/Keychains/SystemRootCertificates.keychain | grep "SHA-256"
# SHA-256 hash: 568D6905A2C88708A4B3025190EDCFEDB1974A606A13C6E5290FCB2AE63EDAB5Windows（微软根存储：已收录 · 信任用于 TLS）
Windows 用 SHA-1 指纹标识根证书。第三方根证书是通过“自动更新根证书”功能按需安装的，所以提示找不到也可能只是还没用到；用 certutil -generateSSTFromWU roots.sst 可以下载微软的完整列表。
certutil -verifystore Root 925A8F8D2C6D04E0665F596AFF22D863E8256F3FLinux（ca-certificates 跟随 Mozilla：已收录 · 信任用于 TLS）
Debian、Ubuntu、Fedora 和 RHEL 的 ca-certificates 软件包都取自 Mozilla 根存储。使用 p11-kit 的系统用 trust list 查；Debian 和 Ubuntu 可以直接搜索 PEM 合集文件。
# Fedora / RHEL / Arch (p11-kit)
trust list --filter=ca-anchors | grep -iF -A2 "Starfield Services Root Certificate Authority - G2"
# Debian / Ubuntu (ca-certificates)
openssl crl2pkcs7 -nocrl -certfile /etc/ssl/certs/ca-certificates.crt \
| openssl pkcs7 -print_certs -noout | grep -iF "Starfield Services Root Certificate Authority - G2"Java
Java 自带独立的 cacerts 密钥库；JDK 9 及以上支持 -cacerts 参数，默认密码是 changeit。用冒号分隔的 SHA-256 指纹搜索。
keytool -list -cacerts -storepass changeit | grep -i "56:8D:69:05:A2:C8:87:08:A4:B3:02:51:90:ED:CF:ED:B1:97:4A:60:6A:13:C6:E5:29:0F:CB:2A:E6:3E:DA:B5"Android
Android 的系统根存储由 Google 单独维护，不属于上面四个 CCADB 根存储。打开 设置 → 安全和隐私 → 更多安全设置 → 加密与凭据 → 受信任的凭据 → 系统（不同厂商和版本的菜单名称略有不同），在 Starfield Technologies, Inc. 下找 Starfield Services Root Certificate Authority - G2。
我的网站链到哪张根证书？
列出服务器发送的证书链，比对最后一级签发者和这张根证书；用指纹可以确认本地保存的副本。
# 显示服务器发送的每张证书的主题（s:）和签发者（i:）
openssl s_client -connect example.com:443 -servername example.com -showcerts </dev/null 2>/dev/null \
| grep -E '^ *[0-9]+ s:|^ *i:'
# 查看下载的 PEM 文件的主题和 SHA-256 指纹
openssl x509 -in amazon-starfield-services-root-ca-g2.pem -noout -subject -fingerprint -sha256
# sha256 Fingerprint=56:8D:69:05:A2:C8:87:08:A4:B3:02:51:90:ED:CF:ED:B1:97:4A:60:6A:13:C6:E5:29:0F:CB:2A:E6:3E:DA:B5常见问题
Starfield Services Root Certificate Authority - G2 被 Chrome、Firefox、Safari 和 Windows 信任吗？
截至 2026-11-10，Mozilla、Apple、Microsoft 信任它用于 TLS 服务器认证，Chrome 不信任。
Starfield Services Root Certificate Authority - G2 什么时候到期？
2037-12-31 到期，距 2026-11-10 的数据快照约 11.1 年。
Starfield Services Root Certificate Authority - G2 签发了多少张中间证书？
CCADB 登记了 10 张：8 张有效，0 张已过期，2 张已吊销。 最新的有效中间证书是 Amazon SFG2 N2 ECDSA 256 Root M1，有效期到 2037-12-30。
Starfield Services Root Certificate Authority - G2 有交叉签名吗？
有。CCADB 里有 2 张主题和公钥与它相同的交叉签名证书，签发者是 Starfield Class 2 Certification Authority，其中 2 张仍有效。
Amazon Trust Services 的其他根证书
- Amazon Root CA 1 RSA 2048 · 2038-01-17
- Amazon Root CA 2 RSA 4096 · 2040-05-26
- Amazon Root CA 3 ECDSA P-256 · 2040-05-26
- Amazon Root CA 4 ECDSA P-384 · 2040-05-26
资料来源
- CCADB — Resources (TLS Server Authentication report, All Included Root Certificate Trust Bit Settings)
- CCADB — All Certificate Information (root and intermediate), CSV V5
- CCADB — Mozilla Included CA Certificate Report
- CCADB — Chrome / Mozilla / Apple / Microsoft TLS Server Authentication CSV