EN

根证书 · DigiCert

DigiCert Global Root CA

DigiCert Global Root CA 是 DigiCert 运营的根证书（RSA 2048，有效期至 2031-11-10，SHA-256 4348A0E9）。按最新 CCADB 数据，4 个主流根存储中有 2 个信任它用于 TLS 服务器认证：Apple, Microsoft。

数据更新于

根存储收录状态

根存储状态信任用于 TLSTLS 不信任起始日有附加限制
Chrome已移除 已移除否—否
Mozilla已收录 已收录否—否
Apple已收录 已收录是—否
Microsoft已收录 已收录是—是

CCADB 为这张根证书登记了 EV 策略 OID 2.23.140.1.3、2.16.840.1.114412.2.1，但 Mozilla 没有为它启用 EV。

已移除 Chrome

状态
已移除

已收录 Mozilla

状态
已收录
信任位
Email
EV 策略 OID
未启用 EV
首次收录版本
NSS 3.11.8 / Firefox 2
收录申请 bug
#364568

已收录 Apple

状态
已收录
信任位
serverAuth、clientAuth、emailProtection

已收录 Microsoft

状态
已收录
信任的扩展密钥用途
Server Authentication、Client Authentication、Code Signing、Secure Email、Time Stamping
NotBefore 截止
2021-08-01 (Code Signing)

“信任用于 TLS”指该根存储收录了这张根证书并开启服务器认证信任位（Mozilla 的 Websites、Apple 的 serverAuth、微软的 Server Authentication EKU）。微软“NotBefore”表示只信任某个截止日期之前签发的证书。“有附加限制”表示该根存储对它施加了额外约束。

详细信息

CA 所有者
DigiCert
主题（Subject）
CN=DigiCert Global Root CA,OU=www.digicert.com,O=DigiCert Inc,C=US
SHA-256
4348A0E9444C78CB265E058D5E8944B4D84F9662BD26DB257F8934A443C70161
SHA-1（Windows 指纹）
A8985D3A65E5E5C4B2D7D66D40C6DD2FB19C5436
SPKI SHA-256
AFF988906DDE12955D9BEBBF928FDCC31CCE328D5B9384F21C8941CA26E20391
生效时间
2006-11-10
到期时间
2031-11-10
密钥
RSA 2048
签名算法
sha1WithRSAEncryption
序列号
83BE056904246B1A1756AC95991C74A
国家/地区
US
信任位（CCADB）
Server Authentication、Client Authentication、Secure Email、Time Stamping
EV 策略 OID（CCADB）
2.23.140.1.3、2.16.840.1.114412.2.1 · 可签发 TLS EV 证书: 是
测试网站
有效证书: https://global-root-ca.chain-demos.digicert.com · 过期证书: https://global-root-ca-expired.chain-demos.digicert.com · 吊销证书: https://global-root-ca-revoked.chain-demos.digicert.com
CCADB 记录编号
A000117
PEM
digicert-global-root-ca.pem

在 crt.sh 上查看这张证书

这张根证书签发的中间证书

CCADB 登记了 70 张由 DigiCert Global Root CA 直接签发的中间证书：53 张仍有效，14 张已过期，3 张已吊销（含上级证书被吊销的）。 其中 1 张有效中间证书的到期日晚于根证书本身的到期日（2031-11-10）。

下表列出其中 20 张（共 70 张）：有效的排在前面，按签发时间从新到旧。名称链接到 crt.sh 上对应 SHA-256 的记录；箭头表示它是本站另一张根证书的交叉签名。

中间证书运营者到期时间状态
Individual Certificate Issuance Service CA - G2 DigiCert2030-08-12有效
ADACOM Class 2 Public Trust CA G5 DigiCert2031-11-09有效
DigiCert G1 SMIME RSA4096 SHA384 2025 CA1 DigiCert2031-11-09有效
DigiCert Global Root G2 → DigiCert Global Root G2 DigiCert2031-11-09有效
DigiCert TLS RSA4096 Root G5 → DigiCert TLS RSA4096 Root G5 DigiCert2031-11-09有效
DigiCert Global Root G2 → DigiCert Global Root G2 DigiCert2031-11-09有效
DigiCert TLS RSA4096 Root G5 → DigiCert TLS RSA4096 Root G5 DigiCert2031-11-09有效
GoGetSSL Legacy TLS RSA2048 SHA256 2022 CA-1 DigiCert2031-11-09有效
GeoTrust Global TLS RSA4096 SHA256 2022 CA1 DigiCert2031-11-09有效
RapidSSL Global TLS RSA4096 SHA256 2022 CA1 DigiCert2031-11-09有效
Verokey Secure Web DigiCert2031-11-09有效
Verokey Verified Business DigiCert2031-11-09有效
Verokey High Assurance Verified Business DigiCert2031-11-09有效
DigiCert TLS Hybrid ECC SHA384 2020 CA1 DigiCert2031-04-13有效
DigiCert TLS RSA SHA256 2020 CA1 DigiCert2031-04-13有效
Abbott Laboratories Secure Authentication CA G3 DigiCert2031-03-10有效
HydrantID SSL CA D1 DigiCert2031-03-03有效
Abbott Laboratories Secure Authentication CA G2 DigiCert2031-01-20有效
DigiCert Cloud Services CA-1 DigiCert2030-09-24有效
DigiCert TLS RSA SHA256 2020 CA1 DigiCert2030-09-23有效

交叉签名

CCADB 中有 1 张证书与 DigiCert Global Root CA 的主题和公钥相同、签发者不同。服务器发送其中一张，就能让信任签发方根证书、却没有收录 DigiCert Global Root CA 的客户端也能建立证书链。

签发者CA 所有者到期时间状态
Baltimore CyberTrust Root crt.sh DigiCert2025-05-10已过期

CRL 和 OCSP 地址

根证书里写的地址

DigiCert Global Root CA 证书本身没有 CRL 分发点（CRL Distribution Points）扩展，也没有 OCSP（Authority Information Access）扩展。根证书通常如此：客户端直接信任它，不检查它自己的吊销状态。

该 CA 发布的完整 CRL（CCADB 登记）

  • http://crl3.digicert.com/DigiCertGlobalRootCA.crl
  • http://crl4.digicert.com/DigiCertGlobalRootCA.crl
  • http://crl.digicert-cn.com/DigiCertGlobalRootCA.crl
  • http://crl.digicert-validation.com/DigiCertGlobalRootCA.crl
  • http://crl.digicert.cn/DigiCertGlobalRootCA.crl

它签发的中间证书里写的地址

下面是 DigiCert Global Root CA 签发的 53 张有效中间证书在 CRL 分发点和 OCSP 字段里写的地址，括号里是使用该地址的中间证书数量。

  • CRL: http://crl3.digicert.com/DigiCertGlobalRootCA.crl (25)
  • CRL: http://crl.digicert.cn/DigiCertGlobalRootCA.crl (16)
  • CRL: http://crl.digicert-cn.com/DigiCertGlobalRootCA.crl (10)
  • CRL: http://crl4.digicert.com/DigiCertGlobalRootCA.crl (6)
  • CRL: http://crl.digicert-validation.com/DigiCertGlobalRootCA.crl (2)
  • OCSP: http://ocsp.digicert.com (25)
  • OCSP: http://ocsp.digicert.cn (16)
  • OCSP: http://ocsp.dcocsp.cn (8)
  • OCSP: http://ocsp.digicert-cn.com (2)
  • OCSP: http://ocsp.digicert-validation.com (2)

到期会怎样

DigiCert Global Root CA 的有效期到 2031-11-10，距本数据快照（2026-11-10）还有约 5.0 年。到期之后，会检查信任锚有效期的浏览器和操作系统不再接受以它结尾的证书链，只能链到它的证书都会验证失败。Android 是已知的例外：它不检查信任锚的到期日。 它签发的有效中间证书里有 1 张比根证书晚到期，运营者需要在 2031-11-10 之前为它们准备别的信任路径，比如由更新的根证书交叉签名。

怎么查自己的设备信不信任它

每个平台都有自己的根存储。下面的命令按通用名（DigiCert Global Root CA）或指纹在本机查找 DigiCert Global Root CA。小标题里的根存储状态来自 CCADB 快照；如果设备的根存储没有更新，或者由管理员统一管理，实际结果可能不同。

macOS（Apple 根存储：已收录 · 信任用于 TLS）

按通用名在系统根证书钥匙串里查找；-Z 参数会打印 SHA-256 哈希，必须和最后一行的指纹一致。

security find-certificate -a -c "DigiCert Global Root CA" -Z \
  /System/Library/Keychains/SystemRootCertificates.keychain | grep "SHA-256"
# SHA-256 hash: 4348A0E9444C78CB265E058D5E8944B4D84F9662BD26DB257F8934A443C70161

Windows（微软根存储：已收录 · 信任用于 TLS）

Windows 用 SHA-1 指纹标识根证书。第三方根证书是通过“自动更新根证书”功能按需安装的，所以提示找不到也可能只是还没用到；用 certutil -generateSSTFromWU roots.sst 可以下载微软的完整列表。

certutil -verifystore Root A8985D3A65E5E5C4B2D7D66D40C6DD2FB19C5436

Linux（ca-certificates 跟随 Mozilla：已收录）

Debian、Ubuntu、Fedora 和 RHEL 的 ca-certificates 软件包都取自 Mozilla 根存储。使用 p11-kit 的系统用 trust list 查；Debian 和 Ubuntu 可以直接搜索 PEM 合集文件。

# Fedora / RHEL / Arch (p11-kit)
trust list --filter=ca-anchors | grep -iF -A2 "DigiCert Global Root CA"
# Debian / Ubuntu (ca-certificates)
openssl crl2pkcs7 -nocrl -certfile /etc/ssl/certs/ca-certificates.crt \
  | openssl pkcs7 -print_certs -noout | grep -iF "DigiCert Global Root CA"

Java

Java 自带独立的 cacerts 密钥库；JDK 9 及以上支持 -cacerts 参数，默认密码是 changeit。用冒号分隔的 SHA-256 指纹搜索。

keytool -list -cacerts -storepass changeit | grep -i "43:48:A0:E9:44:4C:78:CB:26:5E:05:8D:5E:89:44:B4:D8:4F:96:62:BD:26:DB:25:7F:89:34:A4:43:C7:01:61"

Android

Android 的系统根存储由 Google 单独维护，不属于上面四个 CCADB 根存储。打开 设置 → 安全和隐私 → 更多安全设置 → 加密与凭据 → 受信任的凭据 → 系统（不同厂商和版本的菜单名称略有不同），在 DigiCert Inc 下找 DigiCert Global Root CA。

我的网站链到哪张根证书？

列出服务器发送的证书链，比对最后一级签发者和这张根证书；用指纹可以确认本地保存的副本。

下载 PEM

# 显示服务器发送的每张证书的主题（s:）和签发者（i:）
openssl s_client -connect example.com:443 -servername example.com -showcerts </dev/null 2>/dev/null \
  | grep -E '^ *[0-9]+ s:|^ *i:'
# 查看下载的 PEM 文件的主题和 SHA-256 指纹
openssl x509 -in digicert-global-root-ca.pem -noout -subject -fingerprint -sha256
# sha256 Fingerprint=43:48:A0:E9:44:4C:78:CB:26:5E:05:8D:5E:89:44:B4:D8:4F:96:62:BD:26:DB:25:7F:89:34:A4:43:C7:01:61

常见问题

DigiCert Global Root CA 被 Chrome、Firefox、Safari 和 Windows 信任吗？

截至 2026-11-10，Apple、Microsoft 信任它用于 TLS 服务器认证，Chrome、Mozilla 不信任。

DigiCert Global Root CA 什么时候到期？

2031-11-10 到期，距 2026-11-10 的数据快照约 5.0 年。 其中 1 张有效中间证书的到期日晚于根证书本身的到期日（2031-11-10）。

DigiCert Global Root CA 签发了多少张中间证书？

CCADB 登记了 70 张：53 张有效，14 张已过期，3 张已吊销。 最新的有效中间证书是 Individual Certificate Issuance Service CA - G2，有效期到 2030-08-12。

DigiCert Global Root CA 有交叉签名吗？

有。CCADB 里有 1 张主题和公钥与它相同的交叉签名证书，签发者是 Baltimore CyberTrust Root，其中 0 张仍有效。

DigiCert 的其他根证书

资料来源

  1. CCADB — Resources (TLS Server Authentication report, All Included Root Certificate Trust Bit Settings)
  2. CCADB — All Certificate Information (root and intermediate), CSV V5
  3. CCADB — Mozilla Included CA Certificate Report
  4. CCADB — Chrome / Mozilla / Apple / Microsoft TLS Server Authentication CSV