证书颁发机构（Certificate Authority，简称 CA）是一个受信任的组织，负责验证并核实网站、电子邮件地址、公司或个人等实体的身份。

当你访问网站时，会在域名前看到 HTTPS。多出的那个"S"来自数字证书，而数字证书正是由证书颁发机构签发的。

在证书签发、续期与重新签发等过程中，CA 负责组织验证相关的一切工作，以确保你的网站安全。本文简要介绍证书颁发机构（CA）的多个组成部分，让我们开始吧。

什么是证书颁发机构（CA）？

证书颁发机构（CA）是一个组织或实体，负责验证申请获取 SSL 证书的公司身份。CA 会核查域名、个人或公司身份证明、电子邮件地址等凭证，然后签发 SSL 证书。

CA 签发的证书通过加密密钥绑定，以防止数据被窃听。

所有签发的 SSL 证书都与主流浏览器（Chrome、Mozilla Firefox、Opera、Safari）兼容。经过验证的 SSL 证书能让终端用户确认网站的真实身份。

DigiCert、Sectigo、AlphaSSL、GlobalSign、RapidSSL 和 Comodo 是业内几家知名的 CA。2024 年 1 月，在头部网站中使用量最高的 CA 包括 IdenTrust、Sectigo、GlobalSign、DigiCert、Let's Encrypt 和 GoDaddy。

证书颁发机构的关键作用

你或许好奇 HTTP 多出的那个"S"是怎么来的。没错，它来自 SSL 证书——CA 在经过彻底验证后签发该证书。

缺少 SSL 证书时，浏览器会抛出不安全警告，这会损害网站的声誉。

证书颁发机构将证书与私钥、公钥以及预先约定的行业标准验证方式绑定。这些标准由 CA/浏览器论坛（由主流浏览器与 CA 组成的论坛）制定。

在服务器上安装 SSL 证书后，域名前会启用 HTTPS，向访客表明网站可安全保护敏感数据。

证书颁发机构的市场规模预计到 2029 年将实现显著增长。

证书颁发机构如何运作？

为了签发证书，证书颁发机构会签发数字证书，在服务器与浏览器之间建立信任，验证域名与组织身份，并维护证书吊销列表。

证书颁发机构基于公钥基础设施（PKI）系统工作。为了与 PKI 同步运转，CA 在签发证书时必须遵循以下几个阶段：

• 数字证书：数字或 SSL 证书证明网站的身份。
• 公钥：用于加密数据。
• 私钥：用于解密数据。
• 证书颁发机构：确认网站身份并签发证书。
• 数字签名：证实证书由 CA 签发。

我们为什么需要证书颁发机构？

证书颁发机构是安全套接层证书的支柱。没有 CA，网站将处于脆弱状态，浏览器会显示警告。

当客户尝试连接网站时，如何知道他们正在验证的是正确的域名？为了让终端用户确信自己访问的是正规网站，证书颁发机构会签发 SSL 证书。SSL 证书是安全的象征，由证书颁发机构负责保障。

可信证书颁发机构列表

有许多可信的证书颁发机构，包括 DigiCert、Comodo、Sectigo、GlobalSign、AlphaSSL、Thawte、RapidSSL 和 GeoTrust。

这些 CA 提供可靠且经过身份验证的 SSL 证书，以保护服务器与浏览器之间的在线交易。

证书颁发机构如何签发数字证书？

证书颁发机构使用 PKI 系统签发数字证书，并附上有效期；过期后 CA 不再对该证书提供担保。

你需要向 CA 发送证书请求，请求中应包含域名、公钥与数字签名。域名是每个用户的唯一标识。CA 核查收到的公钥并启动验证流程，通过验证流程确认申请者身份。

验证流程包括核查商业登记文件、任何合法实体登记文件、电话核实等。

确认后，证书颁发机构发送已签名的 SSL 证书/数字证书，其中包含 CA 的识别名、CA 签名、公钥及其他必要信息。

根证书与中间证书有什么区别？

• 根证书拥有多个根，即浏览器在其信任库中存有各自的根。
• 中间证书不在浏览器中存储自己的根，而是回溯到第三方可信根 CA。
• 根证书向中间 CA 签发证书，而非直接向终端用户签发；根证书保持离线状态。
• 中间证书用于对终端用户证书进行签名。根 CA 在层级结构下签发中间证书，中间证书在根 CA 与终端用户证书之间充当信任链。

什么是 CA/浏览器论坛？

CA/浏览器论坛成立于 2005 年，是由不同证书颁发机构、浏览器厂商、软件及其他应用厂商组成的志愿团体。

这些厂商使用基于 TLS/SSL 协议的 X.509 证书。CA/浏览器论坛制定了签发数字证书的一些政策与标准，称为"基线要求"（Baseline Requirements）。

每家证书颁发机构都应遵循这些政策与标准，其主旨是为终端用户提供安全的在线体验，并保障用户通信安全。

CA 证书何时会被吊销？

SSL 证书带有预定义的有效期，但也可能因多种原因被提前吊销，这一过程称为 PKI 证书吊销。

• 若 CA 发现签发的证书存在问题，可重新签发新证书并吊销旧证书。
• 若证书系伪造，CA 可吊销，此类证书存储在证书吊销列表（CRL）中。
• 若私钥泄露，CA 可吊销该证书。
• 若 CA 自身遭到破坏，证书可被吊销。
• 若站点所有者不再持有有效域名或关停业务，证书可被吊销。
• 站点所有者已从新的 SSL 提供商更换了新证书。

公共 CA 与私有 CA 的对比

浏览器与计算机信任公共证书颁发机构及其证书。公共证书与私有证书各有用途。

公共证书可避免浏览器警告，用于保护客户端—服务器或服务器—客户端通信。

在公共 CA 证书中，浏览器存有根证书以信任证书链层级。

私有 CA 证书由组织的 IT 管理员或可信 CA 添加，用于保护内部网络。

这类证书可保护未注册域名的服务器间通信。私有 CA 证书没有嵌入浏览器中的可信链证书层级，CA 通过自定政策为内部 IT 环境提供灵活性。

如何选择证书颁发机构

在处理 SSL 证书时，应谨慎选择证书颁发机构。有以下几个方面需要考虑：

先进技术

你选择的 CA 应提供先进的密码学技术，并遵循 SSL 行业的最新发展。落后技术会损害网站的用户体验，因为浏览器只认最新的加密标准。现代密码学与密钥长度能让数据保持安全，避免被窃听。

客户服务

客户服务是选择 CA 的重要组成部分。在验证、部署等众多环节，你可能需要全天候的客户支持来解决 SSL 相关问题。

实用工具

不同的工具让证书管理变得轻松。这些工具能轻松管理与追踪证书、执行政策与合规。API 是借助自动化组织证书管理的最佳工具之一。

合理价格

证书颁发机构的价格应相对其他提供商更为合理。许多 CA 对单张 SSL 证书收费较高，而另一些则以较低成本提供。

声誉

选择证书颁发机构前，务必查看评价、反馈与评分。声誉良好的 CA 有助于你实现业务目标，可靠性与可信度能为证书颁发机构增添额外价值。

总结

证书颁发机构在签发 SSL 证书方面扮演着至关重要的角色，整个站点的安全都依赖于它。我们周围日益严峻的威胁环境，促使我们必须重视网站安全与客户数据安全。由于密码学标准的变化与不断演变的威胁环境，证书颁发机构在未来将面临更具挑战性的角色。