TrustAsia 交叉证书链自查与补齐

适用范围：TrustAsia TLS RSA Root CA / TrustAsia TLS ECC Root CA 层级。

TrustAsia 官方 CA 信息库提供 TrustAsia TLS RSA Root CA、TrustAsia TLS ECC Root CA 及其由 Certum Trusted Network CA 签发的交叉证书。部分客户端尚未信任 TrustAsia TLS 根时，可通过对应交叉证书构建到 Certum 根的兼容路径。

TrustAsia 品牌证书可能采用不同签发层级。 本文仅适用于下表两条路径；请先核对实际中间 CA 的签发者，不要仅凭品牌名称追加附件。

不要绑定固定信任链

建议使用系统或维护中的应用信任库进行标准 TLS 校验，不要在代码中写死完整证书链、issuer 名称，或只接受某一张中间/根证书。CA 迁移、交叉链调整及中间 CA 轮换都可能使此类绑定失效。确需 Certificate Pinning 时，应配置备份 pin 和轮换机制；不要关闭证书或域名校验。参见 Android 官方证书绑定建议。

1. 选择对应的交叉证书

中间 CA 的签发者	交叉证书的签发者	下载
TrustAsia TLS RSA Root CA	Certum Trusted Network CA	RSA 交叉链 PEM
TrustAsia TLS ECC Root CA	Certum Trusted Network CA	ECC 交叉链 PEM

两个文件均名为 cross-chain.pem，各含一张交叉证书，请按实际签发路径二选一，不要把 RSA、ECC 文件合并。附件不含站点证书、签发中间 CA 或 Certum 自签名根。

2. 检查服务器是否发送交叉证书

公网可访问的站点，可在 MySSL 输入域名进行检测，查看证书链及信任检测结果。也可以使用以下命令查看服务器实际返回的证书，将 myssl.com 替换为您的域名：

openssl s_client -connect myssl.com:443 -showcerts

旧版 OpenSSL 或通过 IP 连接时，请补充 -servername 您的域名。查看 Certificate chain，每组 BEGIN CERTIFICATE / END CERTIFICATE 为一段。只有一级中间 CA 时，完整交叉链通常发送 3 段：

编号	证书	签发者（issuer）
0	您的站点证书	本次签发中间 CA
1	签发中间 CA	TrustAsia TLS RSA Root CA 或 TrustAsia TLS ECC Root CA
2	对应的 TrustAsia TLS 根交叉证书	Certum Trusted Network CA

如需进一步确认，可复制单张证书的完整 PEM（含开始和结束标记），通过 MySSL 证书解码查看主体及签发者。

只有第 0 段：先从本次签发包补齐中间 CA，仅追加交叉证书不够。
只有第 0、1 段：若异常客户端尚未信任 TrustAsia TLS 根，应补齐匹配的交叉证书。
已有第 0～2 段仍失败：检查是否属于同一条链、是否过期，以及客户端是否允许信任 Certum 根。

客户端已信任 TrustAsia TLS 根时，两段也可能足够，不能仅凭段数判断缺链。

Java 等环境的建议

无法确认 Java 等应用使用的信任根时，先部署本次签发包中完整的中间 CA 和匹配的交叉证书，再用原应用复测；RSA 与 ECC 只选实际路径对应的一张。

补齐后若仍报错，请检查实际生效的 JRE、应用自定义 truststore 和证书绑定配置，按需更新受信 CA。使用本文交叉路径时，客户端需信任 Certum Trusted Network CA。不要因设备较旧便继续追加其他 Certum 根；额外路径需有实际交叉证书和验证结果支持。

3. 补齐与复测

完整验证路径为：

text

RSA 路径：
站点证书 → 本次签发中间 CA
→ TrustAsia TLS RSA Root CA（由 Certum Trusted Network CA 签发）
→ 客户端信任的 Certum Trusted Network CA

ECC 路径：
站点证书 → 本次签发中间 CA
→ TrustAsia TLS ECC Root CA（由 Certum Trusted Network CA 签发）
→ 客户端信任的 Certum Trusted Network CA

使用本次签发包中的站点证书 server.pem、匹配的中间链 issuing-ca.pem，以及上方选定的 cross-chain.pem，按顺序合并：

cat server.pem issuing-ca.pem cross-chain.pem > fullchain.pem

如平台分别上传服务器证书和中间链，中间链字段使用：

cat issuing-ca.pem cross-chain.pem > intermediates.pem

合并前去掉已有的重复交叉证书，各文件末尾保留换行。不要加入私钥、TrustAsia TLS 自签名根或最终 Certum 自签名根；名称含 Root 的交叉签名对象仍是兼容链的一部分，应按 issuer 区分。

配置生效后再次检查服务器返回链，并在原先失败的客户端复测。CDN、WAF、负载均衡等 HTTPS 入口需同步更新。

确认修复结果

公网可访问的站点可重新运行 MySSL 检测；使用 OpenSSL 时，执行以下命令同时校验证书链和域名（替换两处域名）：

openssl s_client -connect myssl.com:443 -servername myssl.com \
  -verify_hostname myssl.com -verify_return_error

确认输出 Verify return code: 0 (ok)，并在原先失败的客户端验证访问恢复。若仍失败，请检查该客户端实际使用的信任库；仅看到握手连接成功不代表证书校验通过。

旧根到期与迁移提醒

交叉链用于兼容旧信任库，长期依赖旧根仍需安排迁移。以下为相关自签名根证书的 NotAfter（UTC）：

信任根	到期时间
Certum Trusted Network CA	2029-12-31 12:07:37

请提前更新系统或应用信任库，迁移到受支持的新根路径，并用原客户端复测。旧根到期或被客户端移除信任后，依赖该根的路径将面临验证失败；补齐交叉证书不能延长旧根的使用期限。以上时间是根证书到期时间，不是整条链的可用期限。每次续期重新下载并部署配套链，不长期复用本文附件。

附件与官方依据

以下两张证书来自官方信息库“交叉签名根证书（Certum）”。请按实际路径选择附件，部署后在目标客户端复测。

RSA 交叉证书：查看指纹与复制 PEM

DER SHA-256：CE:0D:F8:56:EA:6C:C0:EB:E0:68:F5:5C:4C:C4:DE:77:DE:F4:5C:AC:B2:D4:E9:46:D8:AD:E7:06:66:6F:58:87

text

ECC 交叉证书：查看指纹与复制 PEM

DER SHA-256：FB:E5:2F:7D:83:E6:13:D1:66:F5:92:A9:22:7B:08:A9:23:5E:3D:AA:87:5F:BA:2A:CD:10:A8:C0:D2:20:DA:2F

text

官方来源：TrustAsia CA 信息库 · RSA 交叉证书原文件 · ECC 交叉证书原文件。

TrustAsia 交叉证书链自查与补齐 ​

1. 选择对应的交叉证书 ​

2. 检查服务器是否发送交叉证书 ​

Java 等环境的建议 ​

3. 补齐与复测 ​

确认修复结果 ​

旧根到期与迁移提醒 ​

附件与官方依据 ​

TrustAsia 交叉证书链自查与补齐

1. 选择对应的交叉证书

2. 检查服务器是否发送交叉证书

Java 等环境的建议

3. 补齐与复测

确认修复结果

旧根到期与迁移提醒

附件与官方依据