每个人都可以，
拥有SSL证书

DigiCert在2026年三季度动了三处地方。

9月15日公开TLS证书的CRL从单一超大文件改成分区文件，每份约9.5MB；10月1日CertCentral里的证书发现与托管自动化功能下线，迁移到Trust Lifecycle Manager；10月15日起新签、续期、重签的公开TLS证书默认切到G5专用根，提供RSA 4096和ECC P-384两条链，老G2/G3证书自然到期。

拆开看，CRL分区最值得聊。

CRL是证书吊销列表，相当于一张持续更新的黑名单。证书私钥泄露或者域名不再用了，CA把对应序列号写进这个列表。客户端握手前查一下，有记录就拒绝连接。以前不少公共CA的CRL文件体积很大，几百MB不稀奇。客户端每做一次TLS握手都去拉一遍，拉回来再解析，服务器能扛住，网络差的设备直接超时。

有个报错经常碰见：curl: (56) OpenSSL SSL_read: error:0A000126:SSL routines::unexpected eof while reading，排查半天最后发现是CRL下载把连接拖死了。

DigiCert这次把CRL按序列号范围拆成多个分区文件，每个约9.5MB。客户端根据自己证书的序列号算出分区号，只请求对应那个文件。跟图书馆查下架书单一样，以前要翻整本馆藏目录，现在目录按书架编号分成小册子，你拿自己那本翻两页就行。

移动端和IoT设备省流量，也省解析时间。

对企业运维来说，如果自己维护CRL抓取脚本，得把原来的单URL改成按分区请求，或者换支持分区机制的客户端库。

硬编码旧CRL地址的监控系统会开始报404。

更麻烦的是G5根切换。

很多老系统代码里写死了G2/G3根的指纹或公钥，证书链一变，信任锚不匹配，TLS握手直接失败。证书钉扎做得太死的应用，升级根证书得发版，发版周期又长，运维和开发来回扯皮。

这类问题没有银弹。

只能把证书生命周期管理从签发动作里拆出来。DigiCert把CertCentral自动化功能迁到Trust Lifecycle Manager，意图很明显，签发控制台和运维管控解耦，签发归签发，发现、部署、续期、吊销归另一套系统。企业侧同样需要把证书申请和部署做成自动化流水线，别每次到期前人工点续期。

ACME协议能省不少事。ACME是标准化的证书申请与验证协议，Let's Encrypt、Google Trust Services、ZeroSSL这些公共CA都支持。支持ACME的客户端自动完成域名验证、私钥生成、CSR提交、证书下载和本地部署。

lcjmSSL这类免费证书平台把ACME协议封装成简洁API，支持多域名、泛域名和IP证书，一次调用就能完成自动申请和部署。它不自己签发证书，对接上述可信CA，相当于统一入口，不用在多个CA后台之间切换。

免费证书加自动化不会降低安全性。证书有效期越短，手动管理出错概率越高，自动轮换反而减少私钥暴露时间和吊销响应延迟。DigiCert这轮调整，把证书从长周期静态资产变成短周期动态资源，根证书演进会常态化。

留好根切换测试窗口，避免硬编码根指纹，把ACME自动化纳入基础配置，比盯着某一个CA的公告要踏实。