T-TeleSec GlobalRoot Class 3

Q: T-TeleSec GlobalRoot Class 3 签发了多少张中间证书？

CCADB 登记了 9 张：4 张有效，2 张已过期，3 张已吊销。 最新的有效中间证书是 Telekom Security TLS RSA Root 2023，有效期到 2033-09-30。

T-TeleSec GlobalRoot Class 3 是 Deutsche Telekom Security 运营的根证书（RSA 2048，有效期至 2033-10-01，SHA-256 FD73DAD3）。按最新 CCADB 数据，4 个主流根存储中有 4 个信任它用于 TLS 服务器认证：Chrome, Mozilla, Apple, Microsoft。

数据更新于 2026-11-10

根存储收录状态

根存储	状态	信任用于 TLS	TLS 不信任起始日	有附加限制
Chrome	已收录已收录	是	2026-05-28	是
Mozilla	已收录已收录	是	—	否
Apple	已收录已收录	是	—	是
Microsoft	已收录已收录	是	—	是

Chrome 不再信任这张根证书下 SCT 时间晚于 2026-05-28 的 TLS 证书（sct_not_after）。 Mozilla 把它作为 EV 根证书，对应的 EV 策略 OID 是 1.3.6.1.4.1.7879.13.24.1。

已收录 Chrome

状态: 已收录
TLS 不信任起始日: 2026-05-28

已收录 Mozilla

状态: 已收录
信任位: Websites
EV 策略 OID: 1.3.6.1.4.1.7879.13.24.1
首次收录版本: NSS 3.14 / Firefox 18
收录申请 bug: #669849

已收录 Apple

状态: 已收录
信任位: serverAuth、clientAuth
允许的用途: Server Authentication、Client Authentication、Code Signing、Timestamp Signing

已收录 Microsoft

状态: 已收录
信任的扩展密钥用途: Server Authentication、Client Authentication、OCSP Signing、Secure Email
NotBefore 截止: 2025-09-15 (OCSP Signing、Secure Email)
禁止的扩展密钥用途: OCSP Signing

“信任用于 TLS”指该根存储收录了这张根证书并开启服务器认证信任位（Mozilla 的 Websites、Apple 的 serverAuth、微软的 Server Authentication EKU）。微软“NotBefore”表示只信任某个截止日期之前签发的证书。“有附加限制”表示该根存储对它施加了额外约束。

详细信息

CA 所有者: Deutsche Telekom Security GmbH
主题（Subject）: CN=T-TeleSec GlobalRoot Class 3,OU=T-Systems Trust Center,O=T-Systems Enterprise Services GmbH,C=DE
SHA-256: FD73DAD31C644FF1B43BEF0CCDDA96710B9CD9875ECA7E31707AF3E96D522BBD
SHA-1（Windows 指纹）: 55A6723ECBF2ECCDC3237470199D2ABE11E381D1
SPKI SHA-256: 8D767764B3CBDA08929D072A22A561F4DCDD1BC57D3CBDDC948C47D2B47F9122
生效时间: 2008-10-01
到期时间: 2033-10-01
密钥: RSA 2048
签名算法: sha256WithRSAEncryption
序列号: 1
国家/地区: DE
信任位（CCADB）: Server Authentication、Client Authentication
EV 策略 OID（CCADB）: 1.3.6.1.4.1.7879.13.24.1、2.23.140.1.1 · 可签发 TLS EV 证书: 是
测试网站: 有效证书: https://root-class3.test.telesec.de/ · 过期证书: https://root-class3-expired.test.telesec.de/ · 吊销证书: https://root-class3-revoked.test.telesec.de/
CCADB 记录编号: A000221
PEM: telekom-security-t-telesec-globalroot-class-3.pem

在 crt.sh 上查看这张证书

这张根证书签发的中间证书

CCADB 登记了 9 张由 T-TeleSec GlobalRoot Class 3 直接签发的中间证书：4 张仍有效，2 张已过期，3 张已吊销（含上级证书被吊销的）。

下表列出其中 9 张（共 9 张）：有效的排在前面，按签发时间从新到旧。名称链接到 crt.sh 上对应 SHA-256 的记录；箭头表示它是本站另一张根证书的交叉签名。

中间证书	运营者	到期时间	状态
Telekom Security TLS RSA Root 2023 → Telekom Security TLS RSA Root 2023	Deutsche Telekom Security GmbH	2033-09-30	有效
Telekom Security TLS ECC Root 2020 → Telekom Security TLS ECC Root 2020	Deutsche Telekom Security GmbH	2033-09-30	有效
Telekom Security EV RSA CA 23A	Deutsche Telekom Security GmbH	2033-06-19	有效
Telekom Security ServerID EV Class 3 CA	Deutsche Telekom Security GmbH	2027-08-02	有效
TeleSec ServerPass Extended Validation Class 3 CA	Deutsche Telekom Security GmbH	2024-02-11	已过期
T-TeleSec Extended Validation SSL CA Class 3	Deutsche Telekom Security GmbH	2018-10-01	已过期
Telekom Security EV RSA CA 22	Deutsche Telekom Security GmbH	2032-06-21	已吊销
TeleSec GlobalRoot Class 3 G2	Deutsche Telekom Security GmbH	2029-02-12	已吊销
TeleSec GlobalRoot Class 3 G2	Deutsche Telekom Security GmbH	2026-02-23	已吊销

交叉签名

CCADB 中有 1 张证书与 T-TeleSec GlobalRoot Class 3 的主题和公钥相同、签发者不同。服务器发送其中一张，就能让信任签发方根证书、却没有收录 T-TeleSec GlobalRoot Class 3 的客户端也能建立证书链。

签发者	CA 所有者	到期时间	状态
Deutsche Telekom Root CA 2 crt.sh	Deutsche Telekom Security GmbH	2018-10-01	已过期

CRL 和 OCSP 地址

根证书里写的地址

T-TeleSec GlobalRoot Class 3 证书本身没有 CRL 分发点（CRL Distribution Points）扩展，也没有 OCSP（Authority Information Access）扩展。根证书通常如此：客户端直接信任它，不检查它自己的吊销状态。

该 CA 发布的完整 CRL（CCADB 登记）

http://pki.telesec.de/rl/GlobalRoot_Class_3.crl

它签发的中间证书里写的地址

下面是 T-TeleSec GlobalRoot Class 3 签发的 4 张有效中间证书在 CRL 分发点和 OCSP 字段里写的地址，括号里是使用该地址的中间证书数量。

CRL: http://grcl3.crl.telesec.de/rl/T-TeleSec_GlobalRoot_Class_3.crl (4)
OCSP: http://grcl3.ocsp.telesec.de/ocspr (2)

到期会怎样

T-TeleSec GlobalRoot Class 3 的有效期到 2033-10-01，距本数据快照（2026-11-10）还有约 6.9 年。到期之后，会检查信任锚有效期的浏览器和操作系统不再接受以它结尾的证书链，只能链到它的证书都会验证失败。Android 是已知的例外：它不检查信任锚的到期日。根存储也可能在到期前就停止信任它：Chrome 2026-05-28。

怎么查自己的设备信不信任它

每个平台都有自己的根存储。下面的命令按通用名（T-TeleSec GlobalRoot Class 3）或指纹在本机查找 T-TeleSec GlobalRoot Class 3。小标题里的根存储状态来自 CCADB 快照；如果设备的根存储没有更新，或者由管理员统一管理，实际结果可能不同。

macOS（Apple 根存储：已收录 · 信任用于 TLS）

按通用名在系统根证书钥匙串里查找；-Z 参数会打印 SHA-256 哈希，必须和最后一行的指纹一致。

security find-certificate -a -c "T-TeleSec GlobalRoot Class 3" -Z \
  /System/Library/Keychains/SystemRootCertificates.keychain | grep "SHA-256"
# SHA-256 hash: FD73DAD31C644FF1B43BEF0CCDDA96710B9CD9875ECA7E31707AF3E96D522BBD

Windows（微软根存储：已收录 · 信任用于 TLS）

Windows 用 SHA-1 指纹标识根证书。第三方根证书是通过“自动更新根证书”功能按需安装的，所以提示找不到也可能只是还没用到；用 certutil -generateSSTFromWU roots.sst 可以下载微软的完整列表。

certutil -verifystore Root 55A6723ECBF2ECCDC3237470199D2ABE11E381D1

Linux（ca-certificates 跟随 Mozilla：已收录 · 信任用于 TLS）

Debian、Ubuntu、Fedora 和 RHEL 的 ca-certificates 软件包都取自 Mozilla 根存储。使用 p11-kit 的系统用 trust list 查；Debian 和 Ubuntu 可以直接搜索 PEM 合集文件。

# Fedora / RHEL / Arch (p11-kit)
trust list --filter=ca-anchors | grep -iF -A2 "T-TeleSec GlobalRoot Class 3"
# Debian / Ubuntu (ca-certificates)
openssl crl2pkcs7 -nocrl -certfile /etc/ssl/certs/ca-certificates.crt \
  | openssl pkcs7 -print_certs -noout | grep -iF "T-TeleSec GlobalRoot Class 3"

Java

Java 自带独立的 cacerts 密钥库；JDK 9 及以上支持 -cacerts 参数，默认密码是 changeit。用冒号分隔的 SHA-256 指纹搜索。

keytool -list -cacerts -storepass changeit | grep -i "FD:73:DA:D3:1C:64:4F:F1:B4:3B:EF:0C:CD:DA:96:71:0B:9C:D9:87:5E:CA:7E:31:70:7A:F3:E9:6D:52:2B:BD"

Android

Android 的系统根存储由 Google 单独维护，不属于上面四个 CCADB 根存储。打开设置 → 安全和隐私 → 更多安全设置 → 加密与凭据 → 受信任的凭据 → 系统（不同厂商和版本的菜单名称略有不同），在 T-Systems Enterprise Services GmbH 下找 T-TeleSec GlobalRoot Class 3。

我的网站链到哪张根证书？

列出服务器发送的证书链，比对最后一级签发者和这张根证书；用指纹可以确认本地保存的副本。

下载 PEM

# 显示服务器发送的每张证书的主题（s:）和签发者（i:）
openssl s_client -connect example.com:443 -servername example.com -showcerts </dev/null 2>/dev/null \
  | grep -E '^ *[0-9]+ s:|^ *i:'
# 查看下载的 PEM 文件的主题和 SHA-256 指纹
openssl x509 -in telekom-security-t-telesec-globalroot-class-3.pem -noout -subject -fingerprint -sha256
# sha256 Fingerprint=FD:73:DA:D3:1C:64:4F:F1:B4:3B:EF:0C:CD:DA:96:71:0B:9C:D9:87:5E:CA:7E:31:70:7A:F3:E9:6D:52:2B:BD

常见问题

T-TeleSec GlobalRoot Class 3 被 Chrome、Firefox、Safari 和 Windows 信任吗？

是的。截至 2026-11-10，Chrome、Mozilla（Firefox）、Apple（Safari）和微软（Windows）都信任它用于 TLS 服务器认证。已经设定的不信任起始日：Chrome 2026-05-28。

T-TeleSec GlobalRoot Class 3 什么时候到期？

2033-10-01 到期，距 2026-11-10 的数据快照约 6.9 年。

T-TeleSec GlobalRoot Class 3 签发了多少张中间证书？

CCADB 登记了 9 张：4 张有效，2 张已过期，3 张已吊销。最新的有效中间证书是 Telekom Security TLS RSA Root 2023，有效期到 2033-09-30。

T-TeleSec GlobalRoot Class 3 有交叉签名吗？

有。CCADB 里有 1 张主题和公钥与它相同的交叉签名证书，签发者是 Deutsche Telekom Root CA 2，其中 0 张仍有效。

Deutsche Telekom Security 的其他根证书

T-TeleSec GlobalRoot Class 2 RSA 2048 · 2033-10-01
Telekom Security TLS ECC Root 2020 ECDSA P-384 · 2045-08-25
Telekom Security TLS RSA Root 2023 RSA 4096 · 2048-03-27

资料来源

CCADB — Resources (TLS Server Authentication report, All Included Root Certificate Trust Bit Settings)
CCADB — All Certificate Information (root and intermediate), CSV V5
CCADB — Mozilla Included CA Certificate Report
CCADB — Chrome / Mozilla / Apple / Microsoft TLS Server Authentication CSV