2026 年选购 DV 证书，首先应确认实际证书链能否在目标客户端中持续受信任，再比较价格、签发速度和服务支持。根证书文件的到期日，不能独立证明它还能被浏览器信任多久；供应商的迁移能力，也不能仅凭“兼容主流浏览器”一句话判断。

一 为什么根还没到期浏览器却可能不再信任

一张 DV 证书通常需要通过中间 CA 证书，建立到客户端认可的信任锚的路径。DV 说明申请者经过域名控制权验证，并不决定客户端是否信任该路径。OV、EV同样依赖证书链，因此根信任调整并不是 DV 独有的问题。

讨论“根还能活多久”，至少要区分三个时间：根证书文件的有效期终点、客户端对相关信任路径的接受期限，以及 CA 停止通过该层级签发新证书的时间。它们可能相差数月甚至数年。

GlobalSign 提供了一个直观例子：Root R1 的证书文件有效期截至 2028 年 1 月 28 日，但其 TLS 浏览器信任退出时间列为 2025 年 4 月 15 日。[2][3] 因而，看到一个远期到期日，不能据此断言它仍适合新的公开HTTPS 业务。这里讨论的是 TLS 信任用途，不代表该根及其全部其他用途在同一天失效。

二 2026 年信任洗牌具体改变了什么

Chrome Root Program Policy 1.8 将根密钥年龄、用途与根库规模纳入持续管理。政策为 2006至 2007 年生成的根密钥材料列出约 2026 年 4 月 15 日的移除时间，为 2008 至 2009 年生成的材料列出约 2027 年 4 月 15 日的时间。[1]这是 Chrome 的政策时间表，不应直接当成所有浏览器同步执行的日历。

政策还推动公开 TLS 使用专用层级，并要求拥有超过两个受信任自签名根的 CA 在 2026 年提交整合计划，面向 2027 年继续收敛。[1] 企业需要了解的是自己产品的实际迁移路线，而不是简单把“旧根”全部判为不可用，或把“新根”全部视为已经兼容。

另一个变化发生在终端证书寿命上。公开信任 TLS 服务器证书从 2026 年 3 月 15 日起，新签发证书的最长有效期为 200 天；随后按已通过的安排，在 2027 年降至 100 天，2029 年降至 47 天。[5] 这与根信任调整是两项不同制度，不能把“200 天证书”理解成“根证书只能存活 200 天”。

因此，2026 年的采购问题已经从“这一张证书多少钱”，延伸为“下一次续期是否换链、部署能否自动完成、客户端能否接受新的信任路径”。多年度订单也不能让单张证书绕过适用的有效期上限。

三 停止接受新证书不等于旧证书全部失效

根信任调整可能采取不同方式。有的安排限制某个时间点之后签发的证书，有的撤销特定用途的信任，有的按根密钥年龄退出。只有读懂具体公告，才能确定哪些证书受到影响。

DigiCert 的官方公告列出 2026 年 7 月 1 日的切换节点，涉及 DigiCert Assured IDRoot G2、Assured ID Root G3 和 Trusted Root G4，并说明节点之前签发的 TLS 证书仍受 Chrome 信任直至到期；需要Chrome 信任的后续签发、续期和重签，应转入相应的新层级。[4] 这说明同一品牌、同一产品，在一次重签后也可能需要部署不同的中间证书。

GlobalSign 的 Atlas 迁移说明则列出了转向 R46、E46 等 TLS 专用根的安排，并对部分多用途根采用与签发时间相关的Chrome 约束。[2] 产品与渠道可能使用不同路径，应核对当前产品公告、订单配置和实际证书，不能把某个渠道的迁移日期套用到全部证书。

截至 2026 年 10 月，部分节点已经过去。企业不宜继续把它们当成未来提醒，而应检查线上服务实际返回的证书链，确认续期或重签后的部署结果。

四 购买 DV 证书前 应向供应商确认哪些问题

第一，确认实际链路。要求供应商提供拟签发产品的根名称、SHA-256 指纹、中间 CA、推荐链和可测试入口。仅凭品牌名称或根的简称容易混淆；同一个品牌可能同时存在多个有效层级。

第二，确认信任窗口。分别核对目标浏览器的根计划与供应商公告，识别停止新签发、停止接受特定新证书和完全退出信任的不同节点。判断应覆盖计划使用期与下一次续期，且保留处理迁移的时间。

第三，确认客户端兼容性。现代浏览器受信任，并不意味着旧版 Android、Java 运行环境、SDK、容器镜像或自建信任库已经包含新根。应在真实支持范围中验证连接，特别检查固定信任库及证书绑定配置。

第四，确认迁移和重签服务。问清是否支持替代链、何时切换中间 CA、是否需要重新验证域名，以及故障时的支持流程。交叉签名可以帮助部分客户端建立替代路径，但不能保证任何旧设备或任何退出信任的路径都继续可用。

第五，确认自动化覆盖到部署。ACME 或 API 能自动签发只是开始；CDN、负载均衡器、网关和 Web 服务器还需要安装新链并重新加载。验收应检查各节点真实返回的证书，而不是仅查看控制台显示“已续期”。

这些问题的答案，应成为供应商比较与采购记录的一部分。判断服务价值时，把兼容性测试、迁移成本和故障支持一起考虑，比只计算单次签发费用更接近实际成本。

常见问题 FAQ

根证书还没到期 为什么浏览器会停止信任

证书文件到期日与浏览器信任政策是不同概念。客户端可能按根密钥年龄、用途或具体政策提前退出某条信任路径。采购不能只看 Not After，还应核对目标平台与产品迁移公告。

2026 年选 DV 证书 应先看哪些根信息

先确认产品实际根名称、SHA-256 指纹、中间 CA 和推荐链，再核对目标客户端信任窗口、兼容性及续期后的迁移路径。仅凭品牌或根的简称无法准确判断。

旧根退出信任 是否意味着所有旧证书立即失效

不一定。有些政策限制节点之后新签发的证书，有些按用途或根年龄退出。旧证书是否继续受信任，要按对应平台、根及签发时间查看具体公告，不能一概而论。

从 DV 升级到 OV 能否避开根信任风险

不能保证。验证等级与证书链信任是不同问题。若链路不再被目标客户端接受，需要调整层级、链或受控客户端配置，而不是仅升级验证等级。

新根已经进入主流浏览器 是否代表旧设备也能用

不能这样推断。旧系统、Java、SDK、容器和自建信任库可能尚未包含新根，应在实际支持范围测试。替代链与交叉签名能否帮助兼容，也需逐环境验证。

购买多年 DV 证书 是否可以几年不续期

多年订单不等于单张证书可持续多年。公开信任 TLS 新签发证书自 2026 年 3 月 15 日起最长有效期为 200 天，并有后续缩短安排。应确认订单中的重签、续期与自动化服务。[5]

更换根和中间证书后 如何确认迁移成功

检查各 CDN、网关与服务器实际返回的证书链，验证浏览器及业务客户端连接，并检查证书绑定和固定信任库。签发成功、控制台显示更新都不能替代线上验收。

参考资料

部分资料来着：www.globalsign.com及网络