D课堂 | 别只关注证书到期时间，警惕2026根证书淘汰风险！

就在2026年1月7日，全球外设巨头罗技（Logitech）突然“翻车”：大量用户反馈鼠标功能键失灵、驱动程序无限转圈。有人反复重装折腾了一上午，甚至以为硬件坏了。最终官方确认，罪魁祸首竟然是开发证书过期未续。

（图片来源：Logitech）

D 妹想说，罗技的故障只是“前菜”。对于各位网站运营者来说，浏览器根证书（Root CA）的淘汰才是今年真正的“重头戏”。

Mozilla、谷歌、微软等巨头已经启动了老旧根证书移除工作。如果你的网站仍在使用即将被淘汰的根证书，下一个遭遇“访问失败”的可能就是你。别等用户投诉电话打爆了才着急，这篇《2026证书保命指南》，请务必收藏！

     根证书是什么？

简单说，根证书就是互联网安全的 “身份证签发机关”，所有 SSL 证书的信任都源于它。

就像身份证过期无法使用，根证书一旦被浏览器列入 “淘汰名单”，用它签发的 SSL 证书会直接失效 —— 这和罗技证书过期导致驱动瘫痪的逻辑本质一致，都是信任链条断裂引发的故障。

👉关键知识点（不用记，看懂就行）

• 信任链： 根证书 → 中间证书 → 你的网站SSL证书。

• 兼容性： 不同系统（Windows、iOS、Android）和浏览器（Chrome、Firefox）都有自己独立的“信任名单”。

• 交叉根证书：解决老设备兼容的 “过渡神器”，新根证书由老根证书 “背书”，让新老设备都能识别。

• 2026新规（必考）： CA/B论坛明确，2026 年3月15日起，SSL证书最长有效期从398天缩短至199天，2027年将进一步缩短至100天，“一劳永逸”的时代彻底终结！

  紧急预警：这些根证书已进入淘汰执行期

以下根证书已被主流浏览器明确列入移除计划，不换＝等着网站报错！

⚠️ 特别提醒：

• GlobalSign R1、AAA Certificate Services根证书已在Firefox中失效，使用它们的网站会显示“不安全”；

• DigiCert老根证书将于2026年4月正式被移除，Chrome、Edge等也会陆续跟进；

• 行动窗口很紧：最晚2026年3月前完成迁移，临时抢修根本来不及（参考罗技修复超24小时的教训！）

 2026年SSL证书选购指南

1、优先选 “长期信任款”（根证书适配未来 10 年）

证书有效期缩短已成定证书有效期越来越短，关键是选根证书能长期受信任的产品，避免总换根链：

• 企业级首选： DigiCert Global Root G2（RSA算法）、 DigiCert Global Root G3（ECC算法）

• 中小企业友好： GlobalSign Root R46（RSA）、GlobalSign Root E46（ECC）

• 高性价比： Sectigo Public Server Authentication Root R46/E46系列。

👉D妹提醒：已经没有“5-10年免换”的证书了！2026年3月后最长只有199天，那些标“有效期到2046年”的非正规证书，会被浏览器直接拉黑哦~

2、算法怎么选？看场景对号入座

3、记住3个选购原则

• 查兼容性：用 SSL Labs工具检测根证书是否在目标用户系统/主流浏览器信任名单里（重点确认 Firefox 120+、Chrome 120 + 的信任状态）
  

• 要交叉根：确保新证书带交叉根，老设备也能正常访问

• 选正规CA：DigiCert、GlobalSign、Sectigo等经CA/B论坛认可的机构，其根证书更新与浏览器淘汰计划同步，售后有保障

实操技巧：3步自查+迁移指南 

1️⃣ 快速查当前根证书（现在就去！）

• 浏览器里看：点击地址栏“小锁” → 证书 → 证书路径 → 最上面就是根证书，对照上表检查是否在淘汰列表中

• 在线检测工具：SSL检测工具，输入域名，一键查看根证书状态及信任链完整性

2️⃣ 兼容性测试（关键验证）

• 重点测试：Android 5.0+、Windows 7/10/11、iOS 12+、Firefox 120+、Chrome 120+、Edge 120+
  

• 推荐工具：SSL检测工具，自动生成兼容性报告，关注“根证书信任状态”

3️⃣ 迁移注意事项（避坑！）

• 提前备份：旧证书和服务器配置文件先备份，避免迁移失败网站瘫痪（参考罗技故障修复经验，备份能缩短80%的故障处理时间）
  

• 配交叉根：部署新证书务必包含交叉根，确保使用老根证书的设备能平滑过渡
  

• 上线后监控：迁移后观察1-2周，特别关注Firefox浏览器的访问日志，排查“证书不受信任”报错

最后提醒：2026年关键时间轴 

请把这几个日子写在你的工作日历上：

📌 2026年3月15日：CA/B新规生效，新证书有效期缩至199天

📌 2026年4月： DigiCert老根证书在Mozilla/Firefox正式移除

📌 2026年5月： Let’s Encrypt默认切换至Y世代根证书，免费证书用户需注意

从罗技驱动瘫痪到网站访问失败，证书问题从来不是“小概率事件”。2026年既是根证书淘汰年，也是有效期缩短的开局年，临时抱佛脚真的来不及！

现在就按指南自查根证书，选择根证书稳定+带交叉根的合规产品，才能让网站安全“在线”，守住用户信任。

如果你不确定怎么选或如何迁移，欢迎来腾讯云根据你的业务场景定制方案～

D课堂介绍

《D课堂》是腾讯云DNSPod推出的一档内容丰富、实用性强的科普栏目。本栏目以域名、解析、证书、备案等产品为核心，为您呈现形式多样、寓教于乐的科普内容，同时还将分享实用的产品使用技巧，助您轻松驾驭各类云产品。

《D课堂》旨在通过每期的精彩分享，我们将由浅入深地剖析各类产品原理，带领您一起学习和探索更多令人着迷的科普知识，同时解答您在使用产品过程中遇到的各种疑问。欢迎您随时关注《D课堂》，与我们共同探讨和学习！

本期互动

👉你都知道有哪些主流根证书？你的网站证书又是什么根证书呢？

欢迎在评论区分享，D妹将于2月10日（周三）下午15:00在评论区随机抽取1位粉丝，送出DNSPod定制笔记本~

升级为企业客户后，长按添加1v1专属客服，还有惊喜好礼相赠！

推荐阅读:

如何保护域名安全？注册局锁、注册商锁，一篇带你了解清楚

SSL证书背后，不只是那把“安全锁”

如何用DNS实现负载均衡？