IT之家9月30日消息，Cloudflare（NET）于当地时间9月29日宣布，计划成为一家面向公众的证书颁发机构(CA)，并已正式申请加入Chrome、Apple、Microsoft和Mozilla的根证书计划。
同时，Cloudflare（NET）已与GlobalSign签署最终协议，计划收购一个已有广泛信任基础的根证书，以便未来签发的证书能够覆盖更多操作系统、浏览器和设备。
IT之家注：Cloudflare（NET）目前尚未开始签发证书，相关工作仍处于申请和审批阶段。
Cloudflare（NET）表示，公司此次进入公共CA领域，是继2014年推出Universal（UEIC） SSL后在互联网加密基础设施方面的进一步布局。当年Cloudflare（NET）为旗下网站提供免费TLS，使大量网站开始默认使用HTTPS。
对于新建根证书而言，最大的问题是覆盖范围需要长期积累。即使获得浏览器和操作系统厂商认可，新根证书仍需要逐步进入全球设备的信任存储区，而已经停止更新的老旧设备通常无法获得新根证书。
因此，Cloudflare（NET）计划同时采用两条路径：一方面使用从GlobalSign获得的现有根证书，覆盖已经部署在浏览器、操作系统和其他设备中的信任体系；另一方面申请新的根证书，使其符合未来根证书计划逐渐收紧的政策要求。Cloudflare（NET）称，相关GlobalSign根证书自2012年起已获得多种浏览器、操作系统和设备信任。
Cloudflare（NET）还计划提供免费的自动化证书服务，并以ACME(Automated Certificate Management Environment，自动化证书管理环境)作为主要接口。该协议已被广泛用于自动申请和续期TLS证书，未来用户可以通过修改ACME目录地址，将现有免费CA的证书管理流程迁移到Cloudflare（NET），而无需重新设计基础设施。
Cloudflare（NET）表示，目前Let"s Encrypt每天签发约1000万张证书，服务超过5亿个网站，并在2025年累计达到超过40亿张活跃证书。Cloudflare（NET）认为，免费自动化证书服务高度集中于少数CA，因此需要更多具备相同自动化能力的公共CA来提供冗余。
Cloudflare（NET）自身目前已经采用多家CA为客户提供证书，并设置主备证书路径，以应对CA服务中断和证书撤销等情况。公司表示，建立公共CA后，希望将这种冗余机制进一步扩展到整个互联网。
在可靠性方面，Cloudflare（NET）计划要求使用其CA的客户端支持自动化续期，并将ACME Renewal Information(ARI，用于向客户端提供证书续期时间窗口的标准机制)作为签发证书的条件之一。相关机制已标准化为RFC9773。
Cloudflare（NET）还计划公开证书签发系统和运营信息，包括发布用于签发证书的软件可复现构建结果、对保存CA密钥的硬件安全模块进行证明，并提供公开的证书签发健康状态及安全事件面板。
除了传统TLS证书，Cloudflare（NET）还计划布局后量子密码学。公司预计将在2027年第一季度开始签发生产环境的Merkle Tree Certificates(MTC，默克尔树证书)。这类证书旨在降低后量子密码体系下证书链不断增大所带来的TLS握手负担。
Cloudflare（NET）表示，MTC不会立即取代传统证书，互联网未来多年仍将同时使用现有WebPKI和传统证书。公司计划让传统证书与MTC在同一个CA中共存，使用户能够根据自身情况逐步完成向后量子认证体系的迁移。
目前，Cloudflare（NET）正分别推进Chrome、Apple、Microsoft和Mozilla根证书计划的申请及审核流程。公司预计将继续公开相关进展，并以2027年初推出首批Merkle Tree Certificates作为下一阶段的重要节点。
