GlobalSign 交叉证书链自查与补齐

适用范围：GlobalSign RSA R46。

兼容路径	下载	交叉证书段数
R46 → R3（常规兼容）	下载 R46→R3 PEM	1
R46 → R3 → R1（兼容旧根）	下载 R46→R3→R1 PEM	2

请按路径选择一份附件，均不含站点证书、签发中间 CA 或最终自签名根。

根据 GlobalSign 官方迁移公告，公共 TLS 证书正迁移至专用根 R46（RSA）/ E46（ECC）。GCC 客户及合作伙伴产品按公告于 2026 年 7 月 27 日开始迁移，未在 7 月迁移的账号安排于 9 月 13 日迁移；Atlas 按独立计划执行。

部分旧设备或应用尚未信任新根，因此官方提供交叉证书增强兼容性，其中 RSA 的过渡方案为 R46 由 R3 签发。如果更换证书后出现“证书不受信任”或 Java PKIX path building failed，请按下文检查服务端是否已提供必要的交叉证书。

本文附件仅适用于 GlobalSign RSA R46 层级。 请确认本次签发包中中间 CA 的签发者为 GlobalSign Root R46；ECC E46 等其他层级应使用对应证书链。

不要绑定固定信任链

建议使用系统或维护中的应用信任库进行标准 TLS 校验，不要在代码中写死完整证书链、issuer 名称，或只接受某一张中间/根证书。CA 迁移、交叉链调整及中间 CA 轮换都可能使此类绑定失效。确需 Certificate Pinning 时，应配置备份 pin 和轮换机制；不要关闭证书或域名校验。参见 Android 官方证书绑定建议。

完整名称与兼容路径

本文箭头表示从站点证书向上寻找签发者。

简称	证书名称及识别字段
R46	`GlobalSign Root R46`
E46（本文附件不适用）	`GlobalSign Root E46`
R3	`GlobalSign Root CA - R3`；Subject 中为 `OU=GlobalSign Root CA - R3, O=GlobalSign, CN=GlobalSign`
R1	`GlobalSign Root CA`；Subject 中含 `OU=Root CA, CN=GlobalSign Root CA`，名称不带 R1 后缀

text

常规兼容路径：
站点证书 → 本次签发中间 CA
→ GlobalSign Root R46（由 GlobalSign Root CA - R3 签发）
→ 客户端信任的 GlobalSign Root CA - R3

继续兼容旧根的路径：
站点证书 → 本次签发中间 CA
→ GlobalSign Root R46（由 GlobalSign Root CA - R3 签发）
→ GlobalSign Root CA - R3（由 GlobalSign Root CA 签发）
→ 客户端信任的 GlobalSign Root CA（通常简称 R1）

第二条路径比第一条多发送一张 R3 交叉证书。根绑定是否允许交叉路径取决于应用的绑定方式，不能仅凭补齐证书保证兼容。

1. 检查服务器是否发送交叉证书

公网可访问的站点，可在 MySSL 输入域名进行检测，查看证书链及信任检测结果。也可以使用以下命令查看服务器实际返回的证书，将 myssl.com 替换为您的域名：

openssl s_client -connect myssl.com:443 -showcerts

如果使用旧版 OpenSSL 或通过 IP 连接，请补充 -servername 您的域名，以取得正确站点的证书。

查看输出中的 Certificate chain。每一组 BEGIN CERTIFICATE / END CERTIFICATE 为一段证书。官方 R46→R3 过渡路径通常发送前 3 段；若进一步兼容信任 R1 的客户端，则发送 4 段（均假设只有一级中间 CA）：

编号	证书	签发者（issuer）
0	您的站点证书	站点签发中间 CA
1	站点签发中间 CA	GlobalSign Root R46
2	R46 交叉证书	GlobalSign Root CA - R3
3	R3 交叉证书	GlobalSign Root CA（R1）

如需进一步确认，可复制单张证书的完整 PEM 内容（含 BEGIN CERTIFICATE 和 END CERTIFICATE 标记），通过 MySSL 证书解码查看证书主体及签发者。

只有第 0、1 段：未提供交叉证书；若异常客户端不信任 R46，应补齐适用的交叉链。
已有第 0～2 段：已提供官方公告中的 R46→R3 过渡路径；需要兼容信任 R1 的客户端时，再补第 3 段。
只有第 0 段：还缺少站点签发中间 CA，单独追加交叉证书不够，请从本次签发包补齐中间 CA。

客户端已信任 R46 或 R3 时，2 段或 3 段也可能正常。不能仅凭段数认定缺链，还应结合异常客户端的信任库和报错判断。

Java 等环境的建议

对于无法确认实际信任根的 Java 等环境，建议在排查兼容性时，服务端补齐 R46（R3 签发）＋R3（R1 签发） 两张交叉证书，并保留站点证书及其签发中间 CA，提供 R46→R3→R1 路径。部署后请用原 Java 应用复测。

补齐后若仍报错，请检查应用实际使用的 truststore 和证书绑定配置，按需更新受信 CA。

2. 使用附件补齐

交叉路径为：

text

站点证书 → 本次签发中间 CA
→ GlobalSign Root R46（GlobalSign Root CA - R3 签发）
→ GlobalSign Root CA - R3（GlobalSign Root CA 签发）
→ 客户端信任的 GlobalSign Root CA（R1）

按页首表格选择 cross-chain.pem。常规路径使用一张交叉证书；兼容 R1 时使用两张合并附件，也可展开文末复制。

优先使用本次签发包配套链。server.pem 为站点证书，issuing-ca.pem 为与其匹配的中间 CA 链，cross-chain.pem 为选定的交叉链，按顺序合并：

cat server.pem issuing-ca.pem cross-chain.pem > fullchain.pem

将 fullchain.pem 配置到服务器的证书文件位置；如果平台分别上传“服务器证书”和“中间证书链”，将中间 CA 与选定的交叉证书一起放入中间链字段。合并前去掉已有的重复交叉证书，确保每个 PEM 文件末尾有换行，不要加入私钥或最终自签名根。

配置生效后，重新运行上述命令确认线上返回链，并在原先失败的设备或程序上复测。存在 CDN、WAF 或负载均衡时，请同步更新实际提供 HTTPS 服务的各入口。

确认修复结果

公网可访问的站点可重新运行 MySSL 检测；使用 OpenSSL 时，执行以下命令同时校验证书链和域名（替换两处域名）：

openssl s_client -connect myssl.com:443 -servername myssl.com \
  -verify_hostname myssl.com -verify_return_error

确认输出 Verify return code: 0 (ok)，并在原先失败的客户端验证访问恢复。若仍失败，请检查该客户端实际使用的信任库；仅看到握手连接成功不代表证书校验通过。

旧根到期与迁移提醒

交叉链用于兼容旧信任库，长期依赖旧根仍需安排迁移。以下为相关自签名根证书的 NotAfter（UTC）：

信任根	到期时间
GlobalSign Root CA（R1）	2028-01-28 12:00:00
GlobalSign Root CA - R3	2029-03-18 10:00:00

请提前更新系统或应用信任库，迁移到受支持的新根路径，并用原客户端复测。旧根到期或被客户端移除信任后，依赖该根的路径将面临验证失败；补齐交叉证书不能延长旧根的使用期限。以上时间是根证书到期时间，不是整条链的可用期限。每次续期重新下载并部署配套链，不长期复用本文附件。

附件：两张交叉证书的合并 PEM

顺序：R46（R3 签发）＋R3（R1 签发）。复制时保留两组完整的开始和结束标记。

展开查看与复制完整 PEM

text

以 R1 为终点验证时，客户端必须仍允许信任 R1。部署后请在目标客户端复测。

官方依据：根与证书配置迁移公告 · 交叉证书目录及下载。

GlobalSign 交叉证书链自查与补齐 ​

完整名称与兼容路径 ​

1. 检查服务器是否发送交叉证书 ​

Java 等环境的建议 ​

2. 使用附件补齐 ​

确认修复结果 ​

旧根到期与迁移提醒 ​

附件：两张交叉证书的合并 PEM ​

GlobalSign 交叉证书链自查与补齐

完整名称与兼容路径

1. 检查服务器是否发送交叉证书

Java 等环境的建议

2. 使用附件补齐

确认修复结果

旧根到期与迁移提醒

附件：两张交叉证书的合并 PEM