QuoVadis Root CA 1 G3

怎么查自己的设备信不信任它

每个平台都有自己的根存储。下面的命令按通用名（QuoVadis Root CA 1 G3）或指纹在本机查找 QuoVadis Root CA 1 G3。小标题里的根存储状态来自 CCADB 快照；如果设备的根存储没有更新，或者由管理员统一管理，实际结果可能不同。

macOS（Apple 根存储：已收录 · 信任用于 TLS）

按通用名在系统根证书钥匙串里查找；-Z 参数会打印 SHA-256 哈希，必须和最后一行的指纹一致。

security find-certificate -a -c "QuoVadis Root CA 1 G3" -Z \
  /System/Library/Keychains/SystemRootCertificates.keychain | grep "SHA-256"
# SHA-256 hash: 8A866FD1B276B57E578E921C65828A2BED58E9F2F288054134B7F1F4BFC9CC74

Windows（微软根存储：已收录 · 信任用于 TLS）

Windows 用 SHA-1 指纹标识根证书。第三方根证书是通过“自动更新根证书”功能按需安装的，所以提示找不到也可能只是还没用到；用 certutil -generateSSTFromWU roots.sst 可以下载微软的完整列表。

certutil -verifystore Root 1B8EEA5796291AC939EAB80A811A7373C0937967

Linux（ca-certificates 跟随 Mozilla：已收录）

Debian、Ubuntu、Fedora 和 RHEL 的 ca-certificates 软件包都取自 Mozilla 根存储。使用 p11-kit 的系统用 trust list 查；Debian 和 Ubuntu 可以直接搜索 PEM 合集文件。

# Fedora / RHEL / Arch (p11-kit)
trust list --filter=ca-anchors | grep -iF -A2 "QuoVadis Root CA 1 G3"
# Debian / Ubuntu (ca-certificates)
openssl crl2pkcs7 -nocrl -certfile /etc/ssl/certs/ca-certificates.crt \
  | openssl pkcs7 -print_certs -noout | grep -iF "QuoVadis Root CA 1 G3"

Java

Java 自带独立的 cacerts 密钥库；JDK 9 及以上支持 -cacerts 参数，默认密码是 changeit。用冒号分隔的 SHA-256 指纹搜索。

keytool -list -cacerts -storepass changeit | grep -i "8A:86:6F:D1:B2:76:B5:7E:57:8E:92:1C:65:82:8A:2B:ED:58:E9:F2:F2:88:05:41:34:B7:F1:F4:BF:C9:CC:74"

Android

Android 的系统根存储由 Google 单独维护，不属于上面四个 CCADB 根存储。打开 设置 → 安全和隐私 → 更多安全设置 → 加密与凭据 → 受信任的凭据 → 系统（不同厂商和版本的菜单名称略有不同），在 QuoVadis Limited 下找 QuoVadis Root CA 1 G3。

我的网站链到哪张根证书？

列出服务器发送的证书链，比对最后一级签发者和这张根证书；用指纹可以确认本地保存的副本。

下载 PEM

# 显示服务器发送的每张证书的主题（s:）和签发者（i:）
openssl s_client -connect example.com:443 -servername example.com -showcerts </dev/null 2>/dev/null \
  | grep -E '^ *[0-9]+ s:|^ *i:'
# 查看下载的 PEM 文件的主题和 SHA-256 指纹
openssl x509 -in digicert-quovadis-root-ca-1-g3.pem -noout -subject -fingerprint -sha256
# sha256 Fingerprint=8A:86:6F:D1:B2:76:B5:7E:57:8E:92:1C:65:82:8A:2B:ED:58:E9:F2:F2:88:05:41:34:B7:F1:F4:BF:C9:CC:74