网络信任基础设施正在发生显著变革。Sectigo 已开始将其公共 TLS 与电子邮件证书生态系统迁移至新的根证书和中间证书层级体系，这一过渡在 2025 年逐步展开，并计划在 2026 年初全面强制执行。尽管对大多数终端用户而言这一过程不可见，但它影响着浏览器、服务器以及全球安全平台中证书信任链的构建、验证与维护方式。

根证书迁移重塑了数字信任的基础，并在过渡完成之后长期影响证书验证。大多数现代环境将继续正常运行，但依赖旧信任链、固定中间证书或过期配置的系统若不加以检查，可能会出现验证缺口。

了解正在发生的变化并确认你的证书链是否已对齐新层级体系——这有助于在 PKI 生态系统持续演进的过程中确保信任不中断。

Sectigo 信任基础设施发生了哪些变化？

这次迁移的核心是重新设计的公共根层级。Sectigo 正从传统信任锚点转向新一代 Sectigo 公共根 CA，包括现代的 R46 与 E46 根证书，旨在支持更强的加密标准、更完善的生命周期控制以及长期的生态稳定性。更新后的架构不再依赖旧的多用途根证书，而是引入了与当前证书签发与验证方式相一致的结构化信任模型。

如上图层级所示，新结构将证书用途划分到不同的信任路径中。专用的公共根现在分别锚定 TLS 与电子邮件证书的签发。新一代签发证书颁发机构——包括 R36 与 E36 系列的 DV、OV 和 EV 中间证书——形成了从你的服务器证书到受信任根证书之间更简洁、更易维护的链条。

这一过渡的另一个重要方面是逐步摆脱传统信任链。虽然 SSL 证书的验证流程保持不变，但信任路径现在锚定到 Sectigo 的现代公共根基础设施。这减少了对陈旧根层级体系的依赖，并使证书签发符合当前浏览器与操作系统的信任预期。

为了在过渡期间保持兼容性，交叉签名在新证书与传统信任锚点之间架起桥梁，直至各平台的信任库完全识别新层级。最终结果是更干净、面向未来的信任链，可改善长期验证、简化证书管理，并为 PKI 生态系统迎接不断演进的安全与合规要求做好准备。

Sectigo 为何迁移其公共根

公共根支撑着数字信任，但随着安全标准和加密预期的提升，它们必须演进。Sectigo 的公共根迁移反映了这一转变，在不改变 SSL 日常使用方式的前提下强化了长期证书验证。

主要驱动力之一是加密与生命周期现代化。早期层级体系为更长的证书有效期和较低的自动化程度而构建。当今环境要求更短的有效期、更快的续签以及更可预测的信任路径。新的公共根架构通过更简洁、更易维护的签发结构实现了这一点。

此次迁移还使 Sectigo 与现代化的浏览器和操作系统根证书计划保持一致，以在跨平台环境中维持全球信任。通过减少对陈旧层级的依赖并简化链条复杂度，更新后的结构在提升长期稳定性的同时，也为生态系统迎接不断演进的合规与安全要求做好准备。

迁移时间表与关键截止日期

Sectigo 在 2025 年完成了其分阶段的公共根迁移，将 TLS 与电子邮件证书的签发过渡至新的公共根层级。结构化的分批推出让浏览器、操作系统和基础设施平台的信任库能够在过渡期间采用更新后的根证书，同时保持兼容性。

自 2026 年 1 月 1 日起，迁移已全面强制执行。所有新签发和重新签发的证书现在都使用 Sectigo 的现代公共根层级，旧链条的重新签发不再受支持。在旧链条下签发的证书在其过期之前仍可正常运行，但使用固定链条或传统信任库的环境应确认其是否已兼容新层级。

哪些对象会受到影响

对于大多数现代环境，迁移在无明显中断的情况下完成。然而，对于管理证书部署、信任链或传统基础设施的组织和团队而言，向 Sectigo 新公共根层级的转变是相关的。

如果你属于以下任何一类，应审查你的环境：

- 使用迁移后签发或续签的 Sectigo SSL 证书的网站所有者

- 管理手动证书安装或自定义信任配置的 IT 与 DevOps 团队

- 使用证书固定（pinning）至特定根或中间证书的组织

- 运行传统操作系统、过时 Java 运行时或较旧信任库的环境

- 依赖硬编码或不完整证书链的基础设施

- 使用 Sectigo 层级下签发的 S/MIME 或电子邮件证书的企业

- 跨多个环境管理证书的主机提供商、经销商和平台

对于大多数用户，证书继续正常验证。关键区别在于确保你的系统信任更新后的 Sectigo 公共根层级，且不再依赖传统链条路径。

这是否会影响现有证书

对于大多数用户，现有证书继续正常运行。Sectigo 的公共根迁移不会使过渡前签发的证书失效。任何已安装的证书在其自然到期之前都将保持受信任状态。

发生变化的是新签发和重新签发所使用的链条。由于迁移现已全面强制执行，所有新签发或续签的证书都锚定到 Sectigo 的现代公共根层级。旧链条的重新签发已不再可用，这意味着环境今后必须能够验证更新后的信任路径。

对于使用多年期证书的组织，过渡通常发生在续签或重新签发期间。在大多数现代系统中这会自动发生，但依赖固定根、过期信任库或手动链条配置的环境应确认其是否已兼容新层级。

简而言之，不会立即出现问题，但未来的续签取决于是否信任更新后的 Sectigo 公共根。

安装与信任链有何变化

迁移不会改变 SSL 证书的工作方式，但会改变证书链的配置与验证方式。随着传统回退链条的退役，服务器现在必须提供正确的中间证书链，锚定到 Sectigo 的现代公共根层级。在大多数现代环境中这会自动发生，但手动管理或传统系统可能需要验证。

最重要的要求是安装随证书提供的完整且正确的 CA 包。使用过时的中间证书、混合传统链条文件，或在 TLS 握手期间提供不完整的链条，即使证书本身有效，也可能导致验证错误。

在某些环境中，管理员可能需要确保交叉签名的中间证书正确包含在链条存储中，以便证书能够在现代和传统信任路径下都完成验证。如果你的环境不会自动构建完整链条，请遵循最佳实践，正确地将交叉签名证书添加到信任链中，以避免不完整链条错误和信任失败。

为确认配置正确，请验证你的证书在目标环境中从服务器证书 → 签发中间证书 → 受信任的 Sectigo 公共根 干净地构建。大多数现代系统无需手动更改，但验证可在更新后的层级下实现不中断的信任。

对于 SSL2BUY 客户，迁移后签发或续签的证书已包含正确的链条。只要完整 CA 包安装正确，你的证书将在受支持平台上正常验证。

忽视迁移的风险

忽视根与链条的过渡不会立即破坏证书，但会增加长期风险。潜在问题包括：

- 在无法识别新 Sectigo 公共根的系统中的证书验证失败

- 由过时或不完整的中间配置导致的信任链断裂

- 依赖弃用信任路径的传统环境中的服务中断

- 证书续签或重新签发期间的意外错误，因为旧链条签发不再受支持

- 固定链条或硬编码信任配置中的兼容性问题

通过主动验证你的环境是否信任 Sectigo 的现代公共根层级以及证书链是否正确配置，这些风险是可以避免的。

立海世纪客户现在应该做什么

现在进行一次务实的验证，可以在续签、基础设施变更或平台更新期间防止意外的验证失败。

首先，检查你的服务器实际呈现的证书链，而不仅仅是已安装的证书。链条应从你的服务器证书经正确的签发中间证书（R36/E36 系列）干净地构建到受信任的 Sectigo 公共根。如果你的服务器仍呈现较旧的中间 CA 包，请用签发时提供的当前 CA 包替换它。

如果你的基础设施使用了证书固定、自定义信任库、Java 密钥库或嵌入式证书链，请验证其中没有硬编码的旧 USERTrust 或已弃用的中间证书。这些配置通常会一直工作到续签时，然后在新信任路径强制执行时失败。

运行 Windows IIS、较旧 Linux 发行版、传统 Java 运行时、设备或嵌入式系统的团队，应针对新的 Sectigo 公共根显式验证信任。在某些情况下，不完整链条错误可能仅出现在特定客户端或内部服务中，而非浏览器。

在下次证书续签或重新签发期间，确认：

- 服务器呈现正确的中间链条（而非来自先前安装的缓存或复用）

- 完整信任路径在你的受支持环境中成功构建

- 没有应用层证书验证固定到传统链条

- 监控或 SSL 检测工具识别新的信任层级

对于大多数 SSL2BUY 客户，只需安装当前 CA 包即可解决一切。但具有手动证书处理、长生命周期基础设施或混合传统系统的环境，应将此次迁移视为信任链验证检查点，而不仅仅是一次证书更新。

结语

Sectigo 的公共根迁移标志着网络证书信任建立与维护方式的结构性转变。虽然过渡现已完成，但其影响仍在依赖传统链条、手动配置或长生命周期基础设施的环境中持续显现。了解信任路径如何演进，并验证你的系统是否识别现代层级，有助于在未来防止细微的验证问题。