尊敬的天翼云用户：
您好！
我们接到 CFCA 的官方通知，为适配 Google Chrome 等主流浏览器根证书计划的最新合规要求，CFCA 计划对全球信任服务器证书开展两项安全升级：将 SSL/TLS 证书签发迁移至 G2 根证书体系，并建立中间根证书年度更新机制。
为保障您的业务平稳过渡，现将相关变更及注意事项说明如下：
一、变更事项概述
1.SSL/TLS 证书根体系升级至 G2
CFCA 将公共可信 SSL/TLS 证书签发迁移至专用的单一用途 G2 根证书层级。升级后的证书签发路径如下：
1）增强型EV 证书：CFCA Global RSA ROOT G2 → CFCA EV RSA OCA G2 → 订户证书
2）企业型OV 证书：CFCA Global RSA ROOT G2 → CFCA OV RSA OCA G2 → 订户证书
G2 根证书已由当前 CFCA EV ROOT 根证书交叉签名，具备广泛兼容性，主流设备和平台均可信任。
2.中间根证书年度更新机制
CFCA 将每约 365 天定期生成并启用新的中间根证书，替换上一代中间根，用于后续证书签发。通过缩短中间根使用周期，进一步提升证书链的整体安全水平。
二、生效时间
| 变更事项 | 计划生效时间 | 备注 |
|---|---|---|
| G2 根体系升级 | 2026 年 9 月中旬 | 最终时间以 CFCA 官方公告为准 |
| 中间根年度更新（首轮） | 2027 年 6 月 | 最终时间以 CFCA 官方公告为准 |
说明
G2 根体系升级的最终生效时间，需待 Google Chrome 根证书计划方面正式确认。CFCA 将在获得确认后通过官方渠道（https://www.cfca.com.cn/xwzx/ywgg/）发布最终公告。在此期间，请您提前做好相关准备。
三、对您业务的影响与风险
1. 存量证书不受影响
在上述变更生效前已签发且仍在有效期内的证书，可继续正常使用，浏览器信任状态及安全属性均保持不变，无需更换。
2. 新签发证书将自动适配新体系
生效日期后新申请、续费、重颁发的证书，将自动使用 G2 根证书体系签发。随证书同步提供完整证书链文件，建议贵司运维人员在服务器上部署新证书时，同步配置最新的中间根证书链（将新顶级根证书、中间根与服务器证书合并部署）。
3. 特殊场景需提前适配
若您的业务系统存在以下任一配置，可能导致根体系切换或中间根更换时出现证书校验异常，严重时将引发业务中断：
1）证书硬编码：系统代码、应用程序、客户端 SDK 或配置文件中硬编码了根证书或中间根证书。硬编码的证书在根体系升级后即失效，直接导致校验失败。
2）SSL Pinning（证书固定）：对根证书或中间根证书实施了固定策略。该机制无法适应证书层级变更，会严重影响终端兼容性和业务连续性。
注意
关于客户端预埋顶级根（中间根）证书特别提示：如果您在客户端预埋了原顶级根（中间根）证书，使用新根证书签发的新证书，可能会出现客户端校验异常，进而引发服务中断等问题。建议您在旧证书到期前提前移除预埋操作，改用系统自带的信任库进行验证。
随着证书有效期的缩短，以及各项新规的落地，传统的证书管理模式将面临极大的挑战，建议尽快将证书的管理切换为自动化管理方案，自动化管理方案可自动完成证书链的更新部署，切实降低业务风险。
四、证书链官方下载渠道
为帮助天翼云平台用户实现平滑过渡，自 2026 年 9 月中旬新信任链切换起，天翼云将在签发证书时默认随附交叉证书，无需您手动下载或额外配置。
您也可访问天翼云官方网站，自主下载最新的根证书：下载根证书。
如您有任何问题，可随时通过工单或者服务热线（400-810-9889）与我们联系。
天翼云服务团队
