每个人都可以，
拥有SSL证书

8月24日GlobalSign根证书体系迁移正式启动，R3根停止签发新的200天TLS证书。8月27日起，非PSD2 QWAC场景下，网站OV/EV新签证书统一改由R46和E46两个TLS专用根签发。9月13日，Chrome会对GlobalSign全部多用途根启用SCT时间约束，2027年4月Mozilla按根密钥年龄终止对R3根的TLS信任。这串日期不是普通的CA例行轮换，它把根证书生命周期管理从底层文档直接拉进了运维的待办清单。

先把这个事掰开。浏览器信任一个HTTPS网站，靠的是证书链。根证书就像操作系统预装的签证官名录，中间证书是签证官的下级，叶子证书是你拿到的护照。浏览器只认名录上的签证官，签证官换了，旧护照就作废。

GlobalSign之前用R3这种多用途根给TLS证书签字，现在改成R46只签RSA TLS，E46只签ECC TLS，多用途根正式进入退场通道。对企业来说，服务器上配置的证书链一旦从R3切到R46，老设备如果信任库里没有新根，握手直接失败。

证书透明度的SCT时间约束更是一道硬门槛。CT相当于一个公开账本，每张证书签发后都要登记。

Chrome从9月13日起要求由多用途根签发的证书必须带SCT时间戳，且满足NotAfter约束，否则浏览器会报错。实际表现就是用户访问站点时看到NET::ERR_CERTIFICATE_TRANSPARENCY_REQUIRED或者SEC_ERROR_UNKNOWN_ISSUER这类页面。你用银行办业务来类比，系统不光查你的身份证，还要确认这张身份证已经在公安系统里登记过，没登记就不给办。R3签的新证书缺了合规的SCT，等于身份证没联网核验。

阿里云9月2日的公告把压力落到了具体操作层。9月15日起新签公开TLS证书逐步切换至GlobalSign R46根链，老根兼容窗口到2027年1月28日。

企业得在窗口期内排查中间件、IoT设备、老旧App的信任库是否包含新根，清理证书钉扎和硬编码根证书，还要在测试环境验证新根链兼容性。

做过运维的都清楚，这事难在资产盘点。一台台服务器敲openssl s_client看链，再翻Android、iOS、嵌入式设备的系统信任库，过程极其琐碎。更头疼的是证书钉扎，很多App代码里硬编码了R3中间证书的指纹，你换到R46，App直接拒绝连接。这类故障往往在生产环境才暴露，因为测试设备通常比较新，老设备兼容性问题测不出来。

这也是为什么手动管理证书链越来越不现实。ACME协议的出现把证书申请、验证、部署、续期变成了可编程动作。像lcjmSSL这类平台，对接Let's Encrypt、Google Trust Services、ZeroSSL等ACME CA，提供统一API，支持多域名、泛域名、IP证书，一次配置后自动完成签发和部署。

遇到根链切换这种变更，改完ACME客户端的颁发者参数，测试环境验证通过后滚动推生产就行，不用逐台登录改配置。它不改变证书信任逻辑，只是把原本靠人工执行的重复操作固化成流水线。

根证书迁移这件事，是CA在收紧信任边界。GlobalSign把TLS专用根和多用途根分开，Chrome通过SCT强制透明，都是在减少单根被滥用时的爆炸半径。

以后证书有效期缩到90天甚至更短，企业面对的就不再是五年一次的根切换，而是持续高频的证书轮换。没有自动化，基本等于裸奔。这次事件算是一次压力测试，逼着团队把证书生命周期管理从救火模式切到常态工程化模式。能不能在2027年1月28日前完成新根信任库的完整覆盖，决定了很多老设备还能不能正常访问你的站点。