Cloudflare 宣布有意进入公共证书颁发机构（CA）市场。在花费十多年时间作为可信证书的主要使用者、却从未自行颁发证书之后，公司迈出了这一步。首批行动包括申请加入 Chrome、Apple、Microsoft 和 Mozilla 的可信根计划，以及签署最终协议，从 GlobalSign 收购一个现有且广泛受信任的根。
公司的目标是将现有根提供的兼容性范围，与一个按照未来 WebPKI 生态要求设计的新根结合起来。Cloudflare 表示，相关 GlobalSign 根自 2012 年起就在浏览器、操作系统和设备中受到信任，其中包括可能难以获得新根更新的旧设备。交易尚未完成，Cloudflare 也尚未开始向用户颁发证书。
基于自动化的免费替代方案
Cloudflare 计划采用 ACME 协议作为颁发和续期证书的主要入口。这意味着，目前使用免费证书颁发机构的客户原则上可以仅通过更改目录地址完成迁移，而无需构建新工具或重新设计运营基础设施。
公司还将此举定位为增加免费证书市场多样性的方式。Cloudflare 指出，Let's Encrypt 每天颁发约一千万张证书，为超过 5 亿个网站提供服务，并且其有效证书数量在 2025 年超过了 40 亿张。Cloudflare 认为，互联网对单一免费机构的高度依赖，使系统在该机构遭遇运营问题时容易受到大范围中断的影响。
Cloudflare 实际上会改变什么？
Cloudflare 依托其为数百万个域名运营证书的经验。公司表示，其服务每年通过多个证书颁发机构以及主要和备用路径完成 TLS，并依赖数百万张证书。这些经验使其能够直接应对速率限制、复杂的验证情况、撤销延迟、信任链构建以及根证书分发延迟等问题。
公司计划将支持 ACME Renewal Information (ARI)（RFC 9773 中规定的标准）作为颁发条件。客户将需要运行自动化程序，监控续期端点、跟踪续期窗口，并确定正在被替换的证书。Cloudflare 还表示，将为签名层发布可复现构建的软件，提供有关保存密钥的硬件安全模块的证明，并维护一个用于监控颁发状态和事件的公开面板。
为后量子证书做准备
Cloudflare 计划成为首批在生产环境中颁发 Merkle Tree Certificates (MTCs) 的证书颁发机构之一，并计划在 2027 年第一季度颁发首批证书。公司将这些证书描述为一种更紧凑地传送可信证书的方式，因为在后量子环境中，体积更大的传统证书链可能会增加 TLS 握手操作的压力。
Cloudflare 表示，Chrome 已将 MTCs 指定为抗量子身份验证的首选路径，并且公司正在 IETF 内部推动对该标准化提案的支持。迁移不会立即完成；公司预计传统证书仍将使用多年，并将在同一证书颁发机构和同一生命周期下提供这两种类型，以便客户逐步迁移。
限制与后续步骤
Cloudflare 目前仍处于主要根计划的认证申请和审批阶段，也尚未确定开始传统公共颁发的时间。收购 GlobalSign 根是该计划的核心部分，但并不能替代完成新根计划的要求。
根据 certi.news 的编辑解读，这一公告的重要性在于，它将通常分开处理的两个目标结合起来：为自动化免费证书颁发提供额外竞争者，以及在后量子要求出现之际，为 WebPKI 证书架构的变化做准备。不过，该项目的实际价值之后将取决于根计划的接受程度、收购是否成功，以及 Cloudflare 能否在公告范围之外证明其可靠性和透明度，尤其是在处理大规模撤销和续期操作时。