Sectigo 提供以旧版根证书“AddTrust External CA”对证书进行交叉签名的能力，以扩大对非常老旧的系统与设备的支持。该根证书已于 2020 年 5 月 30 日到期。

所有现代客户端基本上都不会受到影响。然而，旧版客户端、网站或其他在线服务若使用其他应用或集成，则可能需要重新配置客户端或服务器，以避免出现错误或服务中断。

对于绝大多数使用场景，Sectigo 提供的标准根证书即可满足完整的客户端支持需求。针对少数特殊情形，Sectigo 提供了一张新的交叉签名根证书，其有效期至 2038 年。关于过期根证书的完整说明以及该日期之后的可行替代方案，可参考 Sectigo 官方支持文档。

AddTrust External CA 到期说明

Sectigo 持有一张称为“AddTrust External CA Root”的根证书，它曾被用来为 Sectigo 的现代根证书（即“COMODO RSA Certification Authority”与“USERTrust RSA Certification Authority”，二者有效期均至 2038 年）创建交叉证书。

在 2015 年中之后收到安全更新的设备，其操作系统或浏览器信任库中应当已包含最新的 USERTrust RSA Certification Authority 根证书（有效期至 2038 年 1 月），基本不会受到影响。在大多数现代服务器上，只要信任库中存有新的“USERTrust RSA Certification Authority”或“COMODO RSA Certification Authority”，即便“AddTrust External CA Root”已到期，证书链仍可正常工作。在此日期之后，客户端与浏览器将回溯信任至这些有效期至 2038 年的现代根证书。

一款未安装最新“USERTrust”根的旧版浏览器或老旧设备将不信任它，从而继续沿证书链向上寻找它所信任的根——即 AddTrust External CA Root。而现代浏览器已预装 USERTrust 根，无需依赖较旧的 AddTrust 根即可建立信任。

哪些对象会受到影响

- 未收到安全更新、且连接到 Secure Socket Layer（SSL）的旧版客户端；

- 过于陈旧、信任库中不含现代“USERTrust RSA Certification Authority root”的客户端；

- 被配置为信任“AddTrust External CA Root”并忽略信任库的客户端。

如何检查是否正在使用已过期的根证书

你可以通过以下步骤检查是否正在使用已过期的根证书：

- 前往 SSL 检测工具（SSL checker）；

- 输入你的域名或主机名；

- 点击检测（check）；

- 检查“Issuer Common Name（颁发者通用名）”是否为“AddTrust External CA Root”及其到期时间。若为“May 2020”，则说明你安装的是“AddTrust External CA Root”。

如何修复此问题

修复方式有多种，具体采用哪种优选方案取决于你的服务器类型及其配置。

解决方案 1

如有可能，将客户端重新配置为使用操作系统或厂商托管的信任库。若不可行，则将客户端明确配置为信任“USERTrust RSA Certification Authority”或“COMODO RSA Certification Authority”。你可以从以下链接获取交叉证书：

- USERTrust RSA Certification Authority：https://crt.sh/?id=1199354

- COMODO RSA Certification Authority：https://crt.sh/?id=1720081

这将构建出如下的信任链（交叉签名证书 + 中间证书 + 叶证书）：

- USERTrust RSA Certification Authority / COMODO RSA Certification Authority [根证书]

- RSA Server CA [中间证书 1]

- End Entity [叶证书]

解决方案 2

更新服务器上的 CA 证书包（CA-bundle）。根据你的服务器类型与配置，你可能需要更新证书包或从零安装证书。你可以从对应 SSL 类型下载相应的证书包文件：

当前有效的 Sectigo RSA SHA-2 根证书（现行）：DV SSL 证书包、OV SSL 证书包、EV SSL 证书包。

SHA-1 根证书（旧版系统支持）：DV SSL 证书包、OV SSL 证书包、EV SSL 证书包。

Comodo RSA SHA-2 根证书（现行）：DV SSL 证书包、OV SSL 证书包、EV SSL 证书包。

解决方案 3

重新签发你的证书：

- 在服务器上为该域名/主机名生成新的 CSR 与私钥；

- 登录你的账户；

- 进入重新签发（reissue）栏目；

- 粘贴新的 CSR 并点击重新签发；

- 证书重新签发后，你需要将其与收到的新的根证书和中间证书文件一并安装。

更多信息可参考 Sectigo 官方支持文档：Sectigo AddTrust External CA Root Expiring May 30, 2020，以及 Sectigo Chain Hierarchy and Intermediate Roots 知识库文章。