SSL证书行业这一周：三起事件，三项变更
刚刚过去的一周，SSL证书行业的信息密度比较高。梳理下来，有三起事件值得关注，它们的性质各不相同：一起是安全事件，一起是停机事故，还有一份行业预警。此外，多家认证机构发布了与企业用户直接相关的变更。本文分别整理，并补充我们的一点观察。
一、注册局劫持事件：问题出在信任链上游
10月6日，Google 披露：攻击者入侵了 .gh（加纳）、.sl（塞拉利昂）、.as（美属萨摩亚）三个国家码域名的第三方注册局，篡改权威 DNS 记录，并据此为 Google、YouTube 等域名申请到未授权的 HTTPS 证书。据第三方对证书透明度（CT）日志的挖掘，相关证书共12张、覆盖7个域名，签发于9月22日至27日之间，目前均已吊销。Google 同时确认，另有若干全球知名品牌与在线服务同样受到影响。
这一事件的技术根因不在证书配置，而在信任链上游。DV 证书验证的是"你此刻能否控制域名"，而不是"你是否有权拥有它"。注册局一旦被攻击者控制，DNS 验证、CAA 检查都会被顺利通过，认证机构完全按照流程签发，证书却签给了错误的人。
对企业的启示在于，证书配置正确并不等于签发链路的每个环节都可信赖。对于承载核心业务的关键域名，注册局层面的安全防护措施，例如注册局锁，应当纳入证书管理的整体视野。
二、UiPath 停机事故：次级端点上的过期证书
10月13日，UiPath Cloud 多个区域的服务中断约1小时，官方定位为一张已过期的SSL证书。官方复盘中提到，事后已经配置了自动告警用于提前发现证书到期。换句话说，事发之前这套系统没有到期监控。值得注意的是，出事的并不是有人日常盯守的主站点，而是 AI/ML 依赖链上的一处次级端点。
这起事故与上一事件的对照很直观。外部攻击难以完全预防，但证书过期属于可以通过监控和自动化完全避免的问题。事故发生在次级端点，也印证了近期反复出现的规律：证书事故很少发生在有人盯守的主证书上，更多出现在资产清单之外的位置。
三、十月到期潮：预警是真实的，事故尚未发生
首批200天证书已在10月初集中到期，Sectigo 首席合规官此前预测"10月第一周会出现意外中断的头条"。支撑这一预警的数据是真实的：DigiCert 与 Omdia 对400余位 IT 高管的调研显示，47% 的组织仍以表格等手工方式跟踪证书，只有34%对自身证书资产有完整且实时的视图。
需要说明的是，截至发稿，公开渠道并未出现被证实的大规模事故。网络上"数千网站同时崩溃"的说法属于带有营销目的的推演。比较妥当的做法，是把到期潮当作核对自家续期流程的提醒，按预案完成检查，而不是转发未经证实的警报。
四、与企业用户相关的三项变更
DigiCert：原定10月15日执行的根证书升级已通知延期至11月12日，届时全品牌的公网证书将默认改由新根签发。同日起，Apache 格式下载包中的证书由三个变为两个。下载脚本中如果有按证书数量校验或删除多余证书的逻辑，需要在切换前完成修改。
Let's Encrypt：2027年2月10日起，默认证书有效期缩短至64天。官方给出的行动口径很具体：续期已自动化且支持 ARI 的用户无需改动；把续期时间写死为"到期前83天、80天、60天"的脚本和定时任务，需要改为按证书寿命约三分之二处续期。建议检索一遍脚本和运维手册中的这三个数字。
GlobalSign：根证书签发侧由 R3/R5 向 R46/E46 切换，交叉签名兼容窗口自10月16日起，至2028年3月15日结束。仅信任旧根的客户端和设备会出现校验失败，需要提前更新信任库。该信息目前来自第三方平台通知，请以 GlobalSign 官方公告为准。
▼
把一周的信息放在一起，可以看到证书管理的范围在发生变化：证书配置正确之外，签发链路的每个环节都需要关注；盯住主站证书之外，资产清单之外的端点同样需要覆盖；到期换证之外，续期的频率和验证方式也在持续调整。
这些变化对管理方式提出的要求是一致的：更完整的资产清单，更自动化的续期流程，以及覆盖全链路的监控。天威诚信会持续跟踪行业动态，并通过证书自动化管理能力，帮助企业把这些要求落实到日常运营中。
