Spots 
IT之家 9 月 30 日消息，Cloudflare 于当地时间 9 月 29 日宣布，计划成为一家面向公众的证书颁发机构（CA），并已正式申请加入 Chrome、Apple、Microsoft 和 Mozilla 的根证书计划。 同时，Cloudflare 已与 GlobalSign 签署最终协议，计划收购一个已有广泛信任基础的根证书，以便未来签发的证书能够覆盖更多操作系统、浏览器和设备。 IT之家注：Cloudflare 目前尚未开始签发证书，相关工作仍处于申请和审批阶段。
Cloudflare 表示，公司此次进入公共 CA 领域，是继 2014 年推出 Universal SSL 后在互联网加密基础设施方面的进一步布局。当年 Cloudflare 为旗下网站提供免费 TLS，使大量网站开始默认使用 HTTPS。 对于新建根证书而言，最大的问题是覆盖范围需要长期积累。即使获得浏览器和操作系统厂商认可，新根证书仍需要逐步进入全球设备的信任存储区，而已经停止更新的老旧设备通常无法获得新根证书。
因此，Cloudflare 计划同时采用两条路径：一方面使用从 GlobalSign 获得的现有根证书，覆盖已经部署在浏览器、操作系统和其他设备中的信任体系；另一方面申请新的根证书，使其符合未来根证书计划逐渐收紧的政策要求。Cloudflare 称，相关 GlobalSign 根证书自 2012 年起已获得多种浏览器、操作系统和设备信任。
Cloudflare 还计划提供免费的自动化证书服务，并以 ACME（Automated Certificate Management Environment，自动化证书管理环境）作为主要接口。该协议已被广泛用于自动申请和续期 TLS 证书，未来用户可以通过修改 ACME 目录地址，将现有免费 CA 的证书管理流程迁移到 Cloudflare，而无需重新设计基础设施。
Cloudflare 表示，目前 Let's Encrypt 每天签发约 1000 万张证书，服务超过 5 亿个网站，并在 2025 年累计达到超过 40 亿张活跃证书。Cloudflare 认为，免费自动化证书服务高度集中于少数 CA，因此需要更多具备相同自动化能力的公共 CA 来提供冗余。 Cloudflare 自身目前已经采用多家 CA 为客户提供证书，并设置主备证书路径，以应对 CA 服务中断和证书撤销等情况。公司表示，建立公共 CA 后，希望将这种冗余机制进一步扩展到整个互联网。
在可靠性方面，Cloudflare 计划要求使用其 CA 的客户端支持自动化续期，并将 ACME Renewal Information（ARI，用于向客户端提供证书续期时间窗口的标准机制）作为签发证书的条件之一。相关机制已标准化为 RFC 9773。 Cloudflare 还计划公开证书签发系统和运营信息，包括发布用于签发证书的软件可复现构建结果、对保存 CA 密钥的硬件安全模块进行证明，并提供公开的证书签发健康状态及安全事件面板。
除了传统 TLS 证书，Cloudflare 还计划布局后量子密码学。公司预计将在 2027 年第一季度开始签发生产环境的 Merkle Tree Certificates（MTC，默克尔树证书）。这类证书旨在降低后量子密码体系下证书链不断增大所带来的 TLS 握手负担。 Cloudflare 表示，MTC 不会立即取代传统证书，互联网未来多年仍将同时使用现有 WebPKI 和传统证书。公司计划让传统证书与 MTC 在同一个 CA 中共存，使用户能够根据自身情况逐步完成向后量子认证体系的迁移。
目前，Cloudflare 正分别推进 Chrome、Apple、Microsoft 和 Mozilla 根证书计划的申请及审核流程。公司预计将继续公开相关进展，并以 2027 年初推出首批 Merkle Tree Certificates 作为下一阶段的重要节点。
IT之家 9 月 30 日消息，Cloudflare 于当地时间 9 月 29 日宣布，计划成为一家面向公众的证书颁发机构（CA），并已正式申请加入 Chrome、Apple、Microsoft 和 Mozilla 的根证书计划。 同时，Cloudflare 已与 GlobalSign 签署最终协议，计划收购一个已有广泛信任基础的根证书，以便未来签发的证书能够覆盖更多操作系统、浏览器和设备。…