网站证书更新后，浏览器访问正常，后台接口却连接失败。如果企业过去把同一张SSL/TLS 证书同时用于服务器认证和客户端认证，就需要检查新证书的扩展密钥用法（EKU）。
GlobalSign 向 R46（RSA）和 E46（ECC）TLS 专用根迁移后，相应公开信任 SSL/TLS 服务器证书仅保留 ServerAuth，不再包含 ClientAuth。受影响的是将这类证书作为客户端身份凭据的用法，双向 TLS（mTLS）仍然可以通过分别配置合适的服务器证书和客户端证书实现。
ServerAuth 与 ClientAuth 分别代表什么
EKU 用于限定证书可以承担的用途。在 TLS 连接中，服务器和客户端承担不同角色，相应证书的用途也有所区别。
ServerAuth（服务器认证），OID 为 1.3.6.1.5.5.7.3.1：客户端验证所连接服务器的身份。
ClientAuth（客户端认证），OID 为 1.3.6.1.5.5.7.3.2：服务器验证发起连接的客户端身份。
按照 RFC 5280，存在 EKU 扩展时，证书只能用于其中列出的相应用途。因此，一张仅包含 ServerAuth 的证书，即使尚未过期、证书链也受信任，仍不具备 ClientAuth 所表示的用途。
这里需要分清两个层面：R46/E46 是 TLS 专用根；企业直接部署和使用的服务器证书，其签发配置也随迁移调整。排查客户端认证问题时，不能只看根证书名称，还要检查实际用于认证的终端证书。
GlobalSign 此次调整了什么
GlobalSign 官方公告将2026年7月27日列为相关迁移及 EKU 调整的实施日期，并说明按证书签发日期执行，涉及变更后的新申请、续期和重新签发。具体产品及账户安排，应结合对应平台公告核对。
这意味着，续期前后即使域名和部署位置都没有变化，证书用途和签发链也可能发生变化。过去依赖续期后沿用原配置的系统，需要重新验证。
此次方向与浏览器根计划要求公开TLS 签发体系专用化有关。GlobalSign 的迁移文档也说明，需要 ClientAuth 或不依赖浏览器公开信任的业务，应评估相应替代方案。
普通 HTTPS 网站会受什么影响
对于常见的网站访问，浏览器验证服务器证书，服务器通过账号密码、令牌等方式识别用户。这种场景通常不要求网站证书包含ClientAuth。删除服务器证书中的 ClientAuth，不会直接取消普通 HTTPS 所需的服务器认证能力。
部署时仍需验证新证书链是否完整、访问端是否支持相应信任链，以及应用是否写死了旧中间CA 或证书指纹。这些属于证书链兼容性问题，需要与 EKU 用途问题分别排查。
mTLS 场景真正需要检查什么
在 mTLS 中，双方都会验证对方的证书：服务器提供适合服务器认证的证书，客户端提供适合客户端认证的证书。
如果客户端原本就使用独立的客户端证书，服务器证书改为仅含ServerAuth，并不意味着客户端认证必须停用。需要检查的是客户端证书及其验证配置是否仍然适用。
更容易出现问题的，是服务器之间调用接口时复用同一张证书的部署方式。
例如，系统 A 接收外部请求时充当服务器；它调用系统 B 时，又充当客户端。如果系统 A 在两个方向上都使用同一张证书，续期得到仅含 ServerAuth 的证书后，接收 HTTPS 请求可能正常，而向系统 B 提交客户端证书时可能被拒绝。
系统运行在服务器上，不代表它在每条TLS 连接中都承担服务器角色。检查证书用途，应以具体连接方向为依据。
企业如何排查现有配置
建议从证书清单入手，记录每张证书用于哪个应用、哪个连接方向，以及由谁验证。优先检查合作伙伴接口、API 网关和服务之间调用等使用证书认证的连接。
证书角色：用于服务器认证、客户端认证，还是两个方向复用。
EKU：新证书是否包含业务要求的用途。
验证端信任库：是否信任拟使用的客户端证书签发链。
身份映射：是否依赖 Subject、SAN、序列号或其他字段识别调用方。
更新流程：续期、重签后是否自动替换了多个用途的证书。
业务测试：是否完成真实客户端认证和授权测试。
测试应覆盖一次完整调用。浏览器能够打开网页，只能说明对应网站访问路径正常，无法证明后台mTLS 接口也能工作。
若出现失败，应结合日志区分证书链不受信任、用途不符、客户端未发送证书，以及身份映射或授权失败等原因。不要直接通过关闭证书验证来恢复连接。
仍需 ClientAuth 企业可以怎样调整
需要客户端认证的企业，可以评估独立客户端证书或符合自身信任模型的内部PKI 方案。GlobalSign 官方迁移说明也建议，需要 ClientAuth 或无需浏览器信任的客户了解 IntranetSSL 等选项，具体适配情况应与技术支持确认。
评估时，除了确认ClientAuth，还应核对接收方是否接受该签发体系、证书身份字段如何映射，以及证书更新和吊销如何管理。
客户端认证依赖的是接收方的信任配置。证书可以正常签发，并不代表所有合作伙伴接口都会自动接受。
对于同时承接公网访问和后台调用的应用，可以分别管理两类身份：公开TLS 服务器证书服务于网站或接口的服务器认证，客户端证书服务于调用方身份认证。实施前，应安排验证端信任配置、身份映射和证书轮换的联调。
常见问题 FAQ
1 R46/E46 不再支持客户端认证是不是 mTLS 不能用了
不是。mTLS 仍可使用。企业需要为服务器端和客户端分别配置用途合适的证书，并确保双方验证配置正确。不能继续默认将仅含 ServerAuth 的公开 TLS 证书用于客户端身份认证。
2 已经签发的证书会被自动删除 ClientAuth 吗
不会。已签发证书中的EKU 不会因签发策略调整而被远程修改。GlobalSign 公告说明，此次调整针对变更后签发的证书。现有证书仍需遵守自身有效期、吊销状态及适用信任策略。
3 可以自行给证书加上 ClientAuth 吗
不能通过修改已签发证书来增加有效用途。修改证书内容会破坏原有CA 签名。需要 ClientAuth 时，应申请支持相应用途的证书。
4 更换客户端证书后接口为什么仍然拒绝连接
除了 EKU，还应检查验证端是否信任新签发链、客户端是否发送了正确证书，以及证书身份是否符合接口的映射和授权规则。排查时需要同时查看调用端与接收端日志。
5 选择 RSA 的 R46 还是 ECC 的 E46 能恢复 ClientAuth 吗
不能通过切换这两个 TLS 专用根恢复客户端用途。RSA/ECC 的算法选择与 ServerAuth/ClientAuth 的用途划分是不同问题，仍需评估适合客户端认证的证书。
6 如何确认企业是否需要调整
如果企业只把公开 TLS 证书部署在网站入口，重点验证服务器认证及新链兼容性。如果同一张证书还用于向其他系统证明调用方身份，就应进一步检查 ClientAuth 依赖，并在下次续期或重签前完成替代方案测试。
企业可将现有证书的 EKU、签发链、连接方向和接收方要求整理后，联系 GlobalSign 中国团队评估适用方案。请勿提交私钥。
资料核查日期：2026年11月2日。具体产品、账户迁移及替代方案以对应官方公告和技术支持确认为准。
官方来源
[1] GlobalSign TLS 根与证书配置迁移说明
[2] GlobalSign 关于移除 ClientAuth 的官方公告
[3] RFC 5280 第4.2.1.12节 Extended Key Usage