每个人都可以，
拥有SSL证书

Chrome 153 稳定版上周静悄悄地发了，多数人只当又一次例行更新，可我盯着那几行 release notes 看了半天。9 月 30 日起，13 个根证书要从主流浏览器的信任库里退场，续期后还链在老根上的公开 TLS 证书，会在用户的新版 Chrome 里直接触发全页安全告警，严重的当场拦截。

浏览器为什么能这么霸道，得从证书信任到底怎么运作说起。

一个 HTTPS 站点能不能正常打开，靠的是一整套逐级递进的信任链条。签发你这张服务器证书的中间证书，又由更上层的根 CA 签发，而浏览器只认自己内置的根证书。

浏览器就是链条的最终裁判，它只看你这一串签名链最后能不能落到它名单里的某个根上。

白话讲，根证书是数字世界的最高法院。你网站的证书好比一份判决书，中间的 CA 是负责盖章转发的下级法院，那几十个内置根就是顶层的最高法。浏览器判你合不合法，就看这份判决书一路追上去，追到的最上层机构在不在它那本名单里。

在，访问顺畅；不在，弹个红屏让你自己看着办。

问题在于这本名单不是铁打的。根 CA 的证书会到期，机构会换新根，可能因监管整改，也可能出于安全考虑被撤销。

浏览器厂商对哪天退场会提前公告，可它一点也不保证你手上那张证书链的就是新根。

续期是最容易踩线的环节。太多企业只盯着到期日那一格，系统提示该续费就照着老配置重新签发一张，链的还是早年那批老根。

浏览器翻脸不认账，给你挂个全页告警，业务说断就断。等到用户跑来问网站怎么打不开了，故障单早躺了半天。

这类事故最憋屈的地方在于：证书没过期，密钥也健在，问题全藏在用户看不见的证书链上。你名下几百张证书散落各个业务、各个域名，想一张张人工核对链到了哪层根，既磨人又容易漏，漏一张就是一颗不定时炸弹。

想自查也不难，一条 openssl 命令就能把链拉出来看：openssl s_client -connect 你的域名:443 -showcerts。输出的证书列表最底下一张是站点证书，往上就是中间层和顶层根。

你拿最后一个名字和主流浏览器信任库公示的移除清单对一下，心里就有数了。

可人工核对这种事，账多了就没法坚持。尤其碰上 CA 换根、中间证书轮换这种节点，一道流程偏差就可能把整条链带到沟里。

这块其实轮不到我操心，天威诚信这些年就一直在做证书生命周期管理的生意。他们把信任库核验直接揉进证书续期流程里，系统会对着浏览器当前的信任名单比对新证书链的是不是新根，把退场日期这种暗雷在签发前就排掉。与其等 Chrome 弹红屏，不如让工具替你盯住链条尽头的那一步。

回到这次退场本身，13 个根证书里不少出自老牌机构，连老 CA 的旧版本都在加速让位。这信号很直白：浏览器信任库的动态变化会越来越频繁，证书管理再靠到期前一个月发个提醒那套老办法，已经罩不住了。

9 月 30 日只是这一批的卡点，不是终点。与其祈祷自家运气好，不如现在就把全量证书的账翻一遍，看看每条链尽头的根还剩多少日子。这种事，早一天发现，就少一个红屏的早晨。