EN

根证书 · DigiCert

DigiCert High Assurance EV Root CA

DigiCert High Assurance EV Root CA 是 DigiCert 运营的根证书（RSA 2048，有效期至 2031-11-10，SHA-256 7431E5F4）。按最新 CCADB 数据，4 个主流根存储中有 2 个信任它用于 TLS 服务器认证：Apple, Microsoft。

数据更新于

根存储收录状态

根存储状态信任用于 TLSTLS 不信任起始日有附加限制
Chrome已移除 已移除否—否
Mozilla已收录 已收录否—否
Apple已收录 已收录是—否
Microsoft已收录 已收录是—否

CCADB 为这张根证书登记了 EV 策略 OID 2.23.140.1.1、2.16.840.1.114412.1.3.0.2、2.16.840.1.114412.2.1、2.23.140.1.3，但 Mozilla 没有为它启用 EV。

已移除 Chrome

状态
已移除

已收录 Mozilla

状态
已收录
信任位
Email
EV 策略 OID
未启用 EV
首次收录版本
NSS 3.11.8 / Firefox 2
收录申请 bug
#364568

已收录 Apple

状态
已收录
信任位
serverAuth、clientAuth、emailProtection

已收录 Microsoft

状态
已收录
信任的扩展密钥用途
Server Authentication、Client Authentication、Code Signing、Secure Email、Time Stamping

“信任用于 TLS”指该根存储收录了这张根证书并开启服务器认证信任位（Mozilla 的 Websites、Apple 的 serverAuth、微软的 Server Authentication EKU）。微软“NotBefore”表示只信任某个截止日期之前签发的证书。“有附加限制”表示该根存储对它施加了额外约束。

详细信息

CA 所有者
DigiCert
主题（Subject）
CN=DigiCert High Assurance EV Root CA,OU=www.digicert.com,O=DigiCert Inc,C=US
SHA-256
7431E5F4C3C1CE4690774F0B61E05440883BA9A01ED00BA6ABD7806ED3B118CF
SHA-1（Windows 指纹）
5FB7EE0633E259DBAD0C4C9AE6D38F1A61C7DC25
SPKI SHA-256
5A889647220E54D6BD8A16817224520BB5C78E58984BD570506388B9DE0F075F
生效时间
2006-11-10
到期时间
2031-11-10
密钥
RSA 2048
签名算法
sha1WithRSAEncryption
序列号
2AC5C266A0B409B8F0B79F2AE462577
国家/地区
US
信任位（CCADB）
Server Authentication、Client Authentication、Code Signing、Secure Email、Time Stamping
EV 策略 OID（CCADB）
2.23.140.1.1、2.16.840.1.114412.1.3.0.2、2.16.840.1.114412.2.1、2.23.140.1.3 · 可签发 TLS EV 证书: 是
测试网站
有效证书: https://ev-root.chain-demos.digicert.com · 过期证书: https://ev-root-expired.chain-demos.digicert.com · 吊销证书: https://ev-root-revoked.chain-demos.digicert.com
CCADB 记录编号
A000120
PEM
digicert-high-assurance-ev-root-ca.pem

在 crt.sh 上查看这张证书

这张根证书签发的中间证书

CCADB 登记了 94 张由 DigiCert High Assurance EV Root CA 直接签发的中间证书：65 张仍有效，23 张已过期，6 张已吊销（含上级证书被吊销的）。

下表列出其中 20 张（共 94 张）：有效的排在前面，按签发时间从新到旧。名称链接到 crt.sh 上对应 SHA-256 的记录；箭头表示它是本站另一张根证书的交叉签名。

中间证书运营者到期时间状态
DigiCert Assured ID Root G2 → DigiCert Assured ID Root G2 DigiCert2031-11-09有效
DigiCert Global Root G2 → DigiCert Global Root G2 DigiCert2031-11-08有效
DigiCert Global Root G2 → DigiCert Global Root G2 DigiCert2031-11-08有效
DigiCert TLS RSA4096 Root G5 → DigiCert TLS RSA4096 Root G5 DigiCert2031-11-09有效
DigiCert Trusted Root G4 → DigiCert Trusted Root G4 DigiCert2031-11-09有效
Apple Public EV Server RSA CA 3 - G1 Apple Inc.2030-04-10有效
HydrantID EV SSL CA D1 DigiCert2031-03-29有效
CrowdStrike Global EV CA G2 DigiCert2031-03-29有效
CrowdStrike Global EV CA DigiCert2031-03-29有效
DigiCert High Assurance TLS Hybrid ECC SHA256 2020 CA1 DigiCert2031-03-29有效
DigiCert High Assurance TLS RSA SHA256 2020 CA1 DigiCert2031-03-29有效
DigiCert High Assurance CA-3b DigiCert2031-03-29有效
HydrantID EV SSL CA D1 DigiCert2031-03-03有效
CrowdStrike Global EV CA G2 DigiCert2031-03-03有效
DigiCert High Assurance TLS RSA SHA256 2020 CA1 DigiCert2030-12-16有效
DigiCert High Assurance TLS Hybrid ECC SHA256 2020 CA1 DigiCert2030-12-16有效
DigiCert High Assurance CA-3b DigiCert2031-11-09有效
Apple Public EV Server RSA CA 2 - G1 Apple Inc.2030-04-10有效
Thawte EV ECC CN CA G2 DigiCert2030-03-13有效
DigiCert Secure Site Pro EV ECC CN CA G3 DigiCert2030-03-13有效

交叉签名

CCADB 中有 5 张证书与 DigiCert High Assurance EV Root CA 的主题和公钥相同、签发者不同。服务器发送其中一张，就能让信任签发方根证书、却没有收录 DigiCert High Assurance EV Root CA 的客户端也能建立证书链。

签发者CA 所有者到期时间状态
Entrust.net Certification Authority (2048) crt.sh Sectigo2016-11-04已过期
Baltimore CyberTrust Root crt.sh DigiCert2019-07-25已过期
Baltimore CyberTrust Root crt.sh DigiCert2021-06-18已过期
DigiCert Transition RSA Root crt.sh DigiCert2022-11-04已过期
Baltimore CyberTrust Root crt.sh DigiCert2025-05-10已过期

CRL 和 OCSP 地址

根证书里写的地址

DigiCert High Assurance EV Root CA 证书本身没有 CRL 分发点（CRL Distribution Points）扩展，也没有 OCSP（Authority Information Access）扩展。根证书通常如此：客户端直接信任它，不检查它自己的吊销状态。

该 CA 发布的完整 CRL（CCADB 登记）

  • http://crl3.digicert.com/DigiCertHighAssuranceEVRootCA.crl
  • http://crl4.digicert.com/DigiCertHighAssuranceEVRootCA.crl
  • http://crl.digicert-cn.com/DigiCertHighAssuranceEVRootCA.crl
  • http://crl.digicert.cn/DigiCertHighAssuranceEVRootCA.crl

它签发的中间证书里写的地址

下面是 DigiCert High Assurance EV Root CA 签发的 65 张有效中间证书在 CRL 分发点和 OCSP 字段里写的地址，括号里是使用该地址的中间证书数量。

  • CRL: http://crl3.digicert.com/DigiCertHighAssuranceEVRootCA.crl (29)
  • CRL: http://crl.digicert.cn/DigiCertHighAssuranceEVRootCA.crl (14)
  • CRL: http://crl.digicert-cn.com/DigiCertHighAssuranceEVRootCA.crl (13)
  • CRL: http://crl4.digicert.com/DigiCertHighAssuranceEVRootCA.crl (11)
  • CRL: http://crl.digicert-validation.com/DigiCertHighAssuranceEVRootCA.crl (2)
  • OCSP: http://ocsp.digicert.com (36)
  • OCSP: http://ocsp.digicert.cn (14)
  • OCSP: http://ocsp.dcocsp.cn (8)
  • OCSP: http://ocsp.digicert-cn.com (5)
  • OCSP: http://ocsp.digicert-validation.com (2)

到期会怎样

DigiCert High Assurance EV Root CA 的有效期到 2031-11-10，距本数据快照（2026-11-10）还有约 5.0 年。到期之后，会检查信任锚有效期的浏览器和操作系统不再接受以它结尾的证书链，只能链到它的证书都会验证失败。Android 是已知的例外：它不检查信任锚的到期日。

怎么查自己的设备信不信任它

每个平台都有自己的根存储。下面的命令按通用名（DigiCert High Assurance EV Root CA）或指纹在本机查找 DigiCert High Assurance EV Root CA。小标题里的根存储状态来自 CCADB 快照；如果设备的根存储没有更新，或者由管理员统一管理，实际结果可能不同。

macOS（Apple 根存储：已收录 · 信任用于 TLS）

按通用名在系统根证书钥匙串里查找；-Z 参数会打印 SHA-256 哈希，必须和最后一行的指纹一致。

security find-certificate -a -c "DigiCert High Assurance EV Root CA" -Z \
  /System/Library/Keychains/SystemRootCertificates.keychain | grep "SHA-256"
# SHA-256 hash: 7431E5F4C3C1CE4690774F0B61E05440883BA9A01ED00BA6ABD7806ED3B118CF

Windows（微软根存储：已收录 · 信任用于 TLS）

Windows 用 SHA-1 指纹标识根证书。第三方根证书是通过“自动更新根证书”功能按需安装的，所以提示找不到也可能只是还没用到；用 certutil -generateSSTFromWU roots.sst 可以下载微软的完整列表。

certutil -verifystore Root 5FB7EE0633E259DBAD0C4C9AE6D38F1A61C7DC25

Linux（ca-certificates 跟随 Mozilla：已收录）

Debian、Ubuntu、Fedora 和 RHEL 的 ca-certificates 软件包都取自 Mozilla 根存储。使用 p11-kit 的系统用 trust list 查；Debian 和 Ubuntu 可以直接搜索 PEM 合集文件。

# Fedora / RHEL / Arch (p11-kit)
trust list --filter=ca-anchors | grep -iF -A2 "DigiCert High Assurance EV Root CA"
# Debian / Ubuntu (ca-certificates)
openssl crl2pkcs7 -nocrl -certfile /etc/ssl/certs/ca-certificates.crt \
  | openssl pkcs7 -print_certs -noout | grep -iF "DigiCert High Assurance EV Root CA"

Java

Java 自带独立的 cacerts 密钥库；JDK 9 及以上支持 -cacerts 参数，默认密码是 changeit。用冒号分隔的 SHA-256 指纹搜索。

keytool -list -cacerts -storepass changeit | grep -i "74:31:E5:F4:C3:C1:CE:46:90:77:4F:0B:61:E0:54:40:88:3B:A9:A0:1E:D0:0B:A6:AB:D7:80:6E:D3:B1:18:CF"

Android

Android 的系统根存储由 Google 单独维护，不属于上面四个 CCADB 根存储。打开 设置 → 安全和隐私 → 更多安全设置 → 加密与凭据 → 受信任的凭据 → 系统（不同厂商和版本的菜单名称略有不同），在 DigiCert Inc 下找 DigiCert High Assurance EV Root CA。

我的网站链到哪张根证书？

列出服务器发送的证书链，比对最后一级签发者和这张根证书；用指纹可以确认本地保存的副本。

下载 PEM

# 显示服务器发送的每张证书的主题（s:）和签发者（i:）
openssl s_client -connect example.com:443 -servername example.com -showcerts </dev/null 2>/dev/null \
  | grep -E '^ *[0-9]+ s:|^ *i:'
# 查看下载的 PEM 文件的主题和 SHA-256 指纹
openssl x509 -in digicert-high-assurance-ev-root-ca.pem -noout -subject -fingerprint -sha256
# sha256 Fingerprint=74:31:E5:F4:C3:C1:CE:46:90:77:4F:0B:61:E0:54:40:88:3B:A9:A0:1E:D0:0B:A6:AB:D7:80:6E:D3:B1:18:CF

常见问题

DigiCert High Assurance EV Root CA 被 Chrome、Firefox、Safari 和 Windows 信任吗？

截至 2026-11-10，Apple、Microsoft 信任它用于 TLS 服务器认证，Chrome、Mozilla 不信任。

DigiCert High Assurance EV Root CA 什么时候到期？

2031-11-10 到期，距 2026-11-10 的数据快照约 5.0 年。

DigiCert High Assurance EV Root CA 签发了多少张中间证书？

CCADB 登记了 94 张：65 张有效，23 张已过期，6 张已吊销。 最新的有效中间证书是 DigiCert Assured ID Root G2，有效期到 2031-11-09。

DigiCert High Assurance EV Root CA 有交叉签名吗？

有。CCADB 里有 5 张主题和公钥与它相同的交叉签名证书，签发者是 Entrust.net Certification Authority (2048)、Baltimore CyberTrust Root、DigiCert Transition RSA Root，其中 0 张仍有效。

DigiCert 的其他根证书

资料来源

  1. CCADB — Resources (TLS Server Authentication report, All Included Root Certificate Trust Bit Settings)
  2. CCADB — All Certificate Information (root and intermediate), CSV V5
  3. CCADB — Mozilla Included CA Certificate Report
  4. CCADB — Chrome / Mozilla / Apple / Microsoft TLS Server Authentication CSV