证书颁发机构库
整理主流 CA 的根证书、签发类型、兼容性与在华服务能力，便于在选型与排查时快速核对颁发机构。
下表“本地根证书”数量来自本站信任库实际统计，代表该 CA 体系在本站校验时可直接匹配的根证书数量。根证书越完整，链校验结果越接近浏览器实际表现。
Certum
欧洲老牌 CA，QES 依据 eIDAS 法规签发，在中国设有线下身份核验点；性价比高，适合长期批量部署。
| 运营主体 | Asseco Data Systems（原 Unizeto Technologies） |
|---|---|
| 国家 / 地区 | 波兰 · 1998 年起 |
| 产品线 | DV / OV / EV SSL、通配符、多域名、代码签名、邮件证书、AES 文档签名、QES 合格电子签名 |
| 典型根证书 | Certum Trusted Network CA |
Sectigo
全球签发量最大的商业 CA 之一，旗下 PositiveSSL、EssentialSSL、InstantSSL 等子品牌价格亲民，签发速度快。
| 运营主体 | Sectigo Limited（原 Comodo CA） |
|---|---|
| 国家 / 地区 | 美国 / 英国 · 1998 年起 |
| 产品线 | DV / OV / EV SSL、通配符、多域名、代码签名、邮件证书 |
| 典型根证书 | Sectigo Public Server Authentication Root R46 |
GlobalSign
老牌国际 CA，企业级 OV / EV 认可度高，证书兼容性与审计合规记录完整，适合对品牌信任要求高的业务。
| 运营主体 | GlobalSign NV/SA（GMO Internet Group） |
|---|---|
| 国家 / 地区 | 比利时 / 日本 · 1996 年起 |
| 产品线 | DV / OV / EV SSL、通配符、多域名、代码签名、文档签名、IoT 证书 |
| 典型根证书 | GlobalSign Root CA |
DigiCert
收购 Symantec / GeoTrust / Thawte / RapidSSL 品牌后成为体量最大的 CA 之一，EV 与代码签名在企业市场占有率高。
| 运营主体 | DigiCert, Inc. |
|---|---|
| 国家 / 地区 | 美国 · 2003 年起 |
| 产品线 | OV / EV SSL、通配符、多域名、代码签名（含 EV）、文档签名、私有 CA |
| 典型根证书 | DigiCert Global Root G2 |
GeoTrust
定位中小企业与渠道市场，价格适中，历史兼容性良好，现由 DigiCert 统一运营。
| 运营主体 | DigiCert（原 GeoTrust Inc.） |
|---|---|
| 国家 / 地区 | 美国 · 2001 年起 |
| 产品线 | DV / OV SSL、通配符、多域名 |
| 典型根证书 | GeoTrust Global CA |
Thawte
最早提供商业 SSL 的 CA 之一，现作为 DigiCert 旗下品牌运营，适合历史系统兼容场景。
| 运营主体 | DigiCert（原 Thawte Consulting） |
|---|---|
| 国家 / 地区 | 南非 / 美国 · 1995 年起 |
| 产品线 | DV / OV / EV SSL、代码签名 |
| 典型根证书 | Thawte TLS RSA CA G1 |
RapidSSL
入门级 DV 品牌，价格低、签发快，适合个人站与测试环境；不展示企业信息。
| 运营主体 | DigiCert（原 GeoTrust 子品牌） |
|---|---|
| 国家 / 地区 | 美国 · 2004 年起 |
| 产品线 | DV 单域名、通配符 |
| 典型根证书 | RapidSSL Global TLS RSA4096 SHA256 2022 CA1 |
PositiveSSL
Sectigo 的高性价比 DV 产品线，证书签章为 Sectigo，兼顾价格与品牌认可度。
| 运营主体 | Sectigo 旗下子品牌 |
|---|---|
| 国家 / 地区 | 美国 / 英国 · 2007 年起 |
| 产品线 | DV 单域名、通配符、多域名 |
| 典型根证书 | Sectigo Public Server Authentication Root R46 |
AlphaSSL
GlobalSign 体系内的高性价比通配符方案，适合子域名较多的站点批量覆盖。
| 运营主体 | GlobalSign 旗下子品牌 |
|---|---|
| 国家 / 地区 | 比利时 · 2009 年起 |
| 产品线 | DV 通配符、多域名通配符 |
| 典型根证书 | GlobalSign Root CA |
Let's Encrypt
免费自动化签发，适合测试与个人项目；有效期短，需要自动化续签，商业场景建议搭配付费证书做兜底。
| 运营主体 | Internet Security Research Group（非营利） |
|---|---|
| 国家 / 地区 | 美国 · 2015 年起 |
| 产品线 | DV 免费证书，90 天有效期 |
| 典型根证书 | ISRG Root X1 |
| 关注点 | 说明 | 建议 |
|---|---|---|
| 验证级别 | DV 只验证域名所有权；OV 验证企业身份；EV 需要更严格的主体核验。 | 官网、政企、金融类建议 OV / EV；内部系统与展示站可选 DV。 |
| 域名覆盖 | 单域名、多域名、通配符、多域名通配符。 | 子域名多选通配符；跨主体多站点选多域名证书。 |
| 有效期 | 公共信任证书最长 398 天，需按周期续签。 | 用到期提醒或自动续签避免中断。 |
| 兼容性 | 根证书是否被老旧设备、Java 环境、行业专网收录。 | 面向国内多端用户时优先选择根证书覆盖面广的品牌。 |
| 代码签名 | 普通代码签名与 EV 代码签名，驱动签名要求更高。 | Windows 驱动与 SmartScreen 场景需要 EV 并配合时间戳。 |
证书颁发机构库里收录了哪些 CA？
整理 Certum、Sectigo、GlobalSign、DigiCert 等主流 CA 的根证书、签发类型、浏览器与移动端兼容性、在华服务能力，并在证书链修复与可信性检测中直接复用同一份本地根证书库。
这些 CA 资料的数据来源是什么？
根证书来自各 CA 官方发布的根证书文件，随站点打包在 data/ca-bundle.pem 中（128 张）；机构信息依据公开资料与 CA 官方文档整理，不依赖第三方查询接口，离线可用。