每个人都可以，
拥有SSL证书

8月26日，GlobalSign正式推进OV、EV商业证书的根架构迁移，新签证书全面切换到R46（RSA）和E46（ECC）这两个TLS专用根，老的R3根体系开始逐步退役。官方给出的三条规则很明确：新下单、重签发、变更域名都走新根；存量证书继续用R3链路不受影响；提供交叉签名中间证书做过渡。但做过线上证书运维的人都知道，这种根迁移真正麻烦的不是新证书，而是那些跑了好几年、没人敢动的老业务。

根证书是什么？可以把它理解成操作系统和浏览器里预装的一批“公证处名单”。你的证书能不能被信任，取决于客户端能不能沿着证书链一路找到某个它认识的老牌公证处。

GlobalSign这次换根，相当于给新证书换了一个新公证处，而这个新公证处的名单在部分老旧系统里可能根本没更新。结果就是证书本身没问题，但客户端不认。

常见的报错会出现在一些嵌入式设备、旧版Java程序、或者老安卓手机上。你用curl去测一个已经切换到R46的新证书站点，如果系统根证书库比较旧，会直接抛：

curl: (60) SSL certificate problem: unable to get local issuer certificate

浏览器里则可能出现 NET::ERR_CERT_AUTHORITY_INVALID。这类问题在证书刚切换时不一定立刻暴露，往往集中在证书续费触发重签发之后。因为很多企业用的是自动续费，证书到期前30天自动重新签发，新签证书默认走新根，而线上服务器只更新了站点证书，没把新版中间证书一并部署。于是客户端证书链构建到一半断掉，移动端和API开始出现间歇性握手失败。

还有一个更隐蔽的坑是证书固定。

有些App或IoT设备在代码里写死了旧R3根或某个中间证书的指纹，一旦服务端换到R46链，客户端会直接拒绝连接。这类问题没法通过服务端配置解决，只能升级客户端或提前准备双证书过渡。

GlobalSign给出的交叉签名中间证书只能算是短期兼容方案。交叉签名的意思是让新根证书被老根签一下，从而在老客户端眼里仍然“认识”这个新来的。但交叉签名证书的路径更长，某些对证书链长度敏感的场景会出问题，而且它终究会过期，不能当作长期依赖。

所以这次迁移真正考验的是企业对自己证书资产的掌控力。你得知道线上到底有多少张OV/EV证书、哪些在自动续费、哪些设备或服务端配置了固定证书、哪些旧系统根证书库从没更新过。

这些信息如果散落在各个业务线手里，等故障来了再查，时间成本会非常高。

这几年ACME协议在证书自动化领域基本成了事实标准。Let's Encrypt、Google Trust Services、ZeroSSL这些CA都支持ACME，配合客户端工具可以实现证书自动申请、验证、部署和续期。

lcjmSSL这个免费证书平台走的也是这条路，支持多域名、泛域名和IP证书，提供API接口，能把证书生命周期管理做成流水线。如果企业之前已经把证书运维切到ACME体系，像这次GlobalSign换根带来的手工操作负担会小很多，因为证书链的组装和下发可以自动完成，不需要每次人工核对中间证书版本。

不过ACME体系主要覆盖DV证书，OV/EV证书因为涉及组织验证，自动化程度一直没那么高。

但很多业务其实并不需要OV/EV，用DV证书配合自动化管理已经足够。如果一部分非关键业务能迁移到ACME管理的DV证书上，至少能在根迁移这类变动中减少一半的排查面。

根迁移不是第一次，也不会是最后一次。CA行业每隔几年就会因为算法升级或安全策略调整做一次根体系切换。与其等通知来了再加班，不如趁这次把证书资产盘点一遍：核验现有证书的根链路、部署完整的证书链包、在主流系统和旧设备上跑一轮兼容性测试。

那些跑在角落里没人管的旧终端，往往才是最大的定时炸弹。