公共 SSL 证书移除 ClientAuth 后，双向认证怎么办？

为什么会移除？

公共 SSL 证书主要用于证明网站服务器的身份。浏览器根计划正推动证书用途分离，因此 CA 逐步移除其中的 ClientAuth（客户端身份认证用途）。

仅用于网站 HTTPS 的证书，不受这项用途调整影响。 如果系统还用它向另一台服务器证明身份，例如接口双向认证、设备接入或服务间认证，就需要调整用证方案。

对于依赖双向认证的业务，建议优先迁移至 TrustAsia 私有服务器证书或 TrustAsia 私有 PKI 方案，按实际用途配置 ClientAuth，并在业务系统中建立相应的信任关系。

什么时候移除？

各品牌的默认移除、最终停止签发日期及已知限制，统一维护在 OID、EKU 与 ClientAuth 调整时间表。这些日期不是存量证书统一失效时间；请在下一次续期或换证前确认业务是否依赖 ClientAuth。

现在应该怎么办？

首选：使用 TrustAsia 私有服务器证书或私有 PKI 方案

联系交付或技术支持，根据业务范围选择方案：

业务需求	建议方案
为现有接口、服务间调用等明确场景更换双向认证证书	TrustAsia 私有服务器证书：申请时说明需要 ClientAuth，由交付人员确认所选产品及用途配置。
多系统、多设备需要统一规划证书签发、更新和信任关系	TrustAsia 私有 PKI 方案：结合系统规模、部署环境和管理要求评估建设方案。

咨询时提供已有订单号（如有）、证书到期时间、双向认证用途、涉及的系统或设备，以及能否安装私有 CA 信任链，便于确认产品和迁移安排。

迁移与验证

• 公网网站：服务端继续使用公共 SSL 证书；用于证明调用方身份的证书改用私有 ClientAuth 证书。
• 内部系统或设备互联：按实际用途配置私有证书，并在验证对方身份的系统中安装、信任对应的私有 CA 链。
• 切换前：先用测试证书完成联调，再更换生产证书。私有证书通常不被浏览器默认信任，不能直接替代面向公众的网站证书。

申请时确认所选产品包含需要的客户端认证用途；不要通过关闭证书校验解决兼容问题。

过渡期：确需临时保留 ClientAuth 时

如果私有证书方案尚未完成联调，使用 DigiCert 证书的 CertCloud 客户可在 2027-03-01 之前，于下单、续期或重颁发前联系交付或技术支持，提供订单号、双向认证用途和预计换证时间，由我们确认具体产品是否支持临时保留 ClientAuth，并通过 CertCloud 流程办理。

延期不等于默认保留，也不保证所有产品或渠道都可申请。取得新证书后，请检查“增强型密钥用法”中是否包含“客户端身份验证”，并在业务系统中测试。临时安排仅用于完成迁移，长期仍建议采用 TrustAsia 私有服务器证书或 TrustAsia 私有 PKI 方案。

官方依据：DigiCert 调整公告 · GlobalSign GCC 公告 · GlobalSign Atlas 公告 · Certum 公告 · Chrome 根计划政策。