Sectigo 網誌
仲用緊公有數碼證書做身份認證？請停止呢種做法。2026 年前你必須完成邊啲調整
受 Chrome 全新根證書計劃規則約束，到 2027 年 2 月，公有證書頒發機構（CA）將停止支援 TLS 客戶端認證。依賴公有 SSL/TLS 證書完成用戶、裝置或應用程式身份認證的機構，需要切換至私有 CA。呢項變更會影響 VPN、mTLS、Wi-Fi 接入配置等場景。現代化私有 CA 方案搭配證書生命週期管理（CLM），可提供安全、可擴展的落實路徑。
2027 年 2 月，公開金鑰基礎設施（PKI）領域將會發生一項根本性變更：多數機構仲未留意到呢項調整，但好多主體都會受影響。根據 Chrome 根證書計劃的更新要求同各證書頒發機構（CA）近期發布的公告，公有 CA 將唔再頒發支援 TLS 客戶端認證的證書.
對於依賴呢類證書完成用戶、裝置或應用程式身份認證的機構而言，是次變更設有明確的硬性截止時間。除非機構完成向私有 CA 的遷移，否則現有的認證工作流程——尤其係嗰啲預設依賴免費或自動化公有 CA、未被重點關注的工作流程——將開始出現故障。
呢項調整唔係針對邊緣場景的政策更新，而係一次結構性重構，重新定義咗企業基礎設施入面身份認證的實現方式，而且其落地時間遠比多數人認知的更早。
政策變更的背景與核心要求
呢項變更的依據是Chrome 根證書計劃政策 1.6，該政策要求 Chrome 信任庫入面包含的所有證書層級必須在 2027 年 3 月前僅專用於 TLS 服務端認證。簡單來講，公有 CA 將唔再被允許同時頒發包含 id-kp-serverAuth 同 id-kp-clientAuth 兩個擴展金鑰用法（EKU）的證書。呢啲 EKU 用於定義證書的允許用途，對應本次場景下的服務端認證或客戶端認證能力。
相關執行工作已經展開。
Sectigo 已宣布，自 2025 年 9 月 15 日起，新頒發的 SSL/TLS 證書將不再預設包含客戶端認證 EKU；到 2027 年 2 月，Sectigo 將從所有新頒發的 SSL/TLS 證書中永久移除客戶端認證 EKU，該截止日後不設任何例外。
這項政策調整符合目前瀏覽器對延遲吊銷零容忍的整體趨勢。Chrome 不再繼續容納多用途公有證書，而是清晰劃定界線：公有 PKI 僅用於伺服器端認證。如果需要客戶端認證功能，請使用私有 CA.
甚麼是 TLS 客戶端認證，以及您或有需要使用它的原因
當客戶端、用戶、裝置或應用程式嘗試連接伺服器時，TLS 客戶端認證可讓系統驗證上述主體的身份。它與大眾更熟悉、用於驗證網站身份的 TLS 伺服器認證（應用於 HTTPS）並不相同。
常見使用場景包括：
- VPN 存取 為員工筆記型電腦頒發證書，用於遙距連線時的身份驗證。
- Wi-Fi 接入 對員工裝置進行身份認證，無需共用靜態密碼即可保障網絡安全。
- Salesforce 登入 或其他依賴終端裝置內置客戶端證書的 SSO 工作流程。
- API 的雙向 TLS（mTLS）認證，尤其適用於零信任架構下的 CI/CD 流水線或微服務之間的通訊場景。
- DevOps 環境中的裝置或工作負載身份認證，包括基於容器的服務場景。
核心問題在於：不少機構在上述工作流程中不自覺地使用了公共證書頒發機構（CA）提供的客戶端認證服務，原因通常是這類證書獲取便捷、成本低廉，或已與 ACME 等自動化工具整合。
Google Chrome 已將移除客戶端認證功能列為根證書保留在 Chrome 根證書商店中的先決條件。由於多數其他瀏覽器遵循相同的根證書計劃，真正具備全球信任度的客戶端認證證書將逐步停止供應。
到 2025/2026 年，主流受公眾信任的證書頒發機構（CA）完成從其 TLS 證書產品線中移除客戶端認證 EKU 的操作後，仍依賴 TLS 客戶端認證證書識別客戶端身份的機構將很難（且很快將無法）找到替代證書。目前所有大型公共證書頒發機構（CA）均已公佈相關淘汰時間表。
現代私有證書頒發機構（CA）：部署已不再像從前般複雜
客戶端認證本質上是一項內部安全功能。它需要靈活性、細粒度控制，以及證書不會因外部政策變更被吊銷的保障。公共證書頒發機構（CA）從設計之初就並非服務於該場景。
直至近期，不少機構仍在使用公共 CA 提供的相關服務，且往往未意識到當中的影響。公共證書易於獲取、適配自動化流程，無需部署內部公鑰基礎設施（PKI）。但這類證書存在以下局限：
- 固定的證書配置文件 證書模板固定，無法按內部使用場景調整。
- 公共審計與合規強制要求 需遵守 CA/瀏覽器論壇的公共審計與合規要求。
- 無法控制簽發窗口 無法自主控制證書簽發窗口、吊銷規則或生命週期策略。
- 面臨瀏覽器及平台策略變更的風險 易受瀏覽器與平台政策變更影響，比如目前正在發生的這類政策調整。
相比之下，私有證書頒發機構（CA）可讓機構完全掌控數碼證書的簽發、模板設計、證書吊銷、續期與自動化流程。更重要的是，這類CA不受外部根證書計劃約束。如今，現代私有CA解決方案的部署難度遠低於以往。
過往，私有CA一直存在成本高、難管理、部署慢的問題。機構必須從零搭建公鑰基礎設施（PKI），且往往依賴過時的工具及手動流程。
如今情況已有所改變。
現代私有證書頒發機構（CA），尤其是Sectigo這類雲原生私有CA，可在數分鐘內完成部署，支援自動擴縮容，且兼容ACME、EST、SCEP等協議，可實現順暢的數碼證書註冊流程。這類CA可提供：
- 可自訂的證書配置檔案 適用於各類內部使用場景。
- 按使用場景劃分的私有CA，滿足權限分離的需求。
- 完整的API支援 可集成至DevOps、MDM及各類安全平台。
- 生命週期自動化與策略執行能力 可透過證書生命週期管理（CLM）平台實現。
這一演進影響深遠，甚至直接推動了Chrome相關策略的調整。正如Sectigo高級研究員Jason Soroko所說：
「谷歌之所以有底氣推進這項調整，是因為他們知道如今我們終於擁有輕量、開箱即用的私有CA可選方案。要是放在15年前，他們根本不可能做出這個決策。」
換言之，私有CA基礎設施終於發展到足以解決其設計初衷所要應對的問題的程度。
CLM如何補全整個方案
切換至私有CA並不只是替換數碼證書這麼簡單，核心是要掌握數碼證書的全流程管理方式。
隨着SSL/TLS證書有效期縮短至47天成為既定規則，依靠電子表格跟進證書狀態、寄望於續期腳本持續運行的模式已經不再可行。可見性、自動化與策略執行能力必須從初始階段就內置到體系中。
這正是證書生命週期管理（CLM）的價值所在。成熟的CLM平台可協助你完成以下工作：
- 發現每一张數碼證書 覆蓋環境內所有公網及私有數碼證書。
- 對證書進行分類與打標 按使用場景、所屬系統、過期時間分類標記數碼證書。
- 自動化完成證書簽發、續期與吊銷 實現數碼證書簽發、續期、證書吊銷的規模化自動化處理。
- 執行策略管控 針對密鑰長度、EKU、配置模板等維度執行強制策略。
- 避免業務中斷 避免因數碼證書過期或配置錯誤導致的業務中斷。
- 透過單一管理面板檢視所有數碼證書，透過統一視圖檢視所有私有及公網數碼證書。
無論你使用的CA能力多強，若缺少CLM，在數碼化環境持續快速迭代的背景下，你將很難維持管理的敏捷性。
「所有路徑最終都指向CLM」，Jason表示，「每張數碼證書從一開始就應納入管理體系。」
後續操作建議
1. 梳理內部公鑰基礎設施（PKI）現狀
首先排查機構內所有使用TLS客戶端身份驗證的場景：
- 哪些設備、應用或服務正在使用數碼證書進行身份驗證？
- 這些數碼證書由哪些證書頒發機構（CA）簽發？
- 這些數碼證書當中是否有透過公共ACME工作流簽發的（例如Let’s Encrypt）？
如果您無法確定，Sectigo Certificate Manager 可協助您發現並盤點雲環境、本地環境及混合環境中的內部數碼證書。
2. 評估風險與時間規劃
如前文所述，所有公共CA需在2027年2月前全面終止對TLS客戶端身份驗證的支援。上述來源簽發的所有支援客戶端身份驗證的數碼證書，都需要替換為私有CA簽發的數碼證書。
3. 部署現代化私有CA
Sectigo的雲原生私有CA解決方案 支援為以下場景簽發和管理數碼證書：
- VPN與Wi-Fi身份驗證
- 設備與工作負載身份
- mTLS與API身份驗證
- 開發環境與CI/CD流水線
該方案專為快速部署設計，可跨環境彈性擴展。它支援ACME、EST、SCEP協議，且提供與Microsoft ADCS及雲身份平台的開箱即用集成，您可順利上線私有PKI，無需額外調整基礎設施。
4. 透過證書生命週期管理（CLM）實現自動化
私有CA正式運作後，下一步需確保 完整的數碼證書可見性與自動化能力。Sectigo Certificate Manager可為您提供：
- 所有數碼證書（公共及私有數碼證書）的完整資產清單
- 以角色為基礎的簽發策略
- 自動續期與輪換
- 到期告警與審計日誌
私有PKI已成為必備能力
公共CA逐步終止TLS客戶端身份驗證支援並非單純的政策更新，而是身份驗證處理邏輯的結構性調整，此舉將移除眾多機構多年來在不知情下依賴的一種不當實作方式。
好消息是：私有證書頒發機構（CA）已不再像過往般構成實施障礙. 隨著證書管理工具日趨成熟，現在正是重新奪回控制權的最佳時機。
如果您仍在傳閱Wi-Fi密碼，或使用公有證書頒發機構（CA）頒發的客戶端證書為手提電腦進行身份認證，現在就應該採取行動。您所需的基礎設施已經就緒，最後期限亦已明確。
Sectigo可提供貴機構所需的解決方案，協助您在維持合規性的同時兼備敏捷性。我們提供開箱即用、業界領先的CA無關型私有證書頒發機構（CA），以及安全、簡便、可擴展的平台，可協助您統一管理公有與私有證書。
