数说安全专访｜TLS/SSL证书有效期缩短为47天引发数字证书行业的巨变，谁能抓住这个机会？

2025年4月，CA/B论坛正式通过SC-081提案，将TLS/SSL证书的有效期从398天缩短到47天。这一历史性调整，直接影响了企业的证书运维策略，让“幕后”的行业规则首次以切实的运维压力被更多用户切身感知。

大家所不知道的是，从Let’s Encrypt于2015年9月进入市场以来，数字证书行业在10年间已经发生了多次重大变革，有些企业因无法跟上变革而被淘汰，也有新进的企业抓住了产业升级的机会而脱颖而出。

在这场持续十年的行业重塑中，成立于2013年的亚数TrustAsia作为中国CA领域的重要参与者，正展现出厚积薄发的竞争力。如今，它已稳步成长为推动“证书自动化”在中国乃至亚太市场落地的关键力量。多项“亚太第一”、“亚太唯一”的业界成就，正是其精准洞察行业趋势、引领技术变革的有力证明。

TLS/SSL证书有效期缩短至47天？他们早有办法。

要求CA必须入“专用根”，他们也已就绪。

CT（证书透明度）领域，欧美企业普遍对内外部合规和安全要求极高，亚数TrustAsia不惜每年投入数百万人民币，硬是成为了全球仅有的8家CT服务商之一（亚太唯一）。

此前，亚数TrustAsia举办了一场发布会，推出CaaS（Certificate as a Service）证书即服务，他们要推动国内乃至亚太地区的CA自动化新生态。

本篇专访，赛博英杰创始人谭晓生找到了亚数TrustAsia的CEO翟新元，从，我们才了解到，CA产业过去十年时间经历的一些惊涛骇浪。然而，成功的领航者，就是能够在风暴中找到机会。

谭晓生：听说亚数TrustAsia推出了证书即服务（CaaS），能给我们介绍一下吗？

翟新元：在今年上半年，全球主流浏览器和操作系统厂商，包括谷歌、苹果、微软、Mozilla等巨头提出把TLS/SSL证书周期从以前的398天压缩到47天。原计划节点在2028年，但考虑到全球生态系统的适应情况，这一节点被延后到了2029年3月15日实施。

这件事情其实传递了一个明确的信号：如果整个行业不实现证书管理的自动化，未来将很难应对越来越短的证书生命周期所带来的运维风险。

正是基于这样的判断，我们推出了“证书即服务（CaaS）”。

什么是证书即服务？用一个比较生活化的比喻来说，我们这代人都经历过用煤气罐的日子。一个月换一次还能接受；但要是两天就得换一次，谁都受不了。证书有效期的缩短，其实也是同样的道理——频率越高，人工介入越多，出错的可能性也就越大。

现实中，很多企业的证书部署还停留在人工操作阶段。哪怕是全球领先的科技公司，也曾因为证书过期或配置错误，导致业务中断。不是技术不行，而是证书管理本身就繁琐，人工更新太频繁，出问题几乎难以避免。

现在想想，天然气入户之后，几乎没人再去搬煤气罐了。而“证书即服务”，其实就是让证书管理进入了“管道化”的阶段。我们把将原本需要人工介入的申请、更新、部署流程全部实现自动化，用户只要像用水电一样按需使用就行。对企业来说，这不仅是效率的提升，更是一种稳定、可持续的安全保障。

谭晓生： CaaS（Certificate as a Service）说是“证书即服务”，那它具体提供的是哪些服务？

翟新元：如果从证书申请到使用来看，我们的核心就是把整个流程做到极致的自动化和便捷化。

首先，在组织信息认证这一环，组织认证无需再提交一大堆营业执照复印件等资料，只需使用工商备案电话接收验证码，即可自助完成。其次，在域名验证环节，我们已与多家DNS服务商打通，全程自动完成。还有在证书签发之前的信息校验环节，我们支持ACME协议，也提供开放API与命令行工具，用户一条命令即可生成密钥、上传CSR，并在数秒内完成签发。

当然，光有签发自动化还不够，这并不能真正称为“证书即服务”。证书不是拿到就结束了，背后还有更复杂的管理问题。

很多大型企业一次要管理上千张证书，每张都对应一对密钥。有效期缩短到47天后，这种匹配关系会急剧复杂，不少客户甚至用Excel管理，结果越管越乱，越管越头大。

所以我们在服务体系里专门设计了一个平台，叫CertManager。它打通了证书的签发与分发流程，帮助客户完成全生命周期的密钥管理，并提供完善的API接口。运维人员可通过CertManager实现证书自动更新与分发，确保密钥始终最新、证书不过期，整个过程安全、顺畅、可控。

谭晓生：这套方案在国内落地顺利吗？

翟新元：目前推进得还不错，但要真正落地，光靠我们一家企业是不够的。

其实当我们一开始把“47天”的新规消息分享给行业时，很多人第一反应都是：“有没有解决方案？”亚数已经有了方案，但这件事必须要产业链一起做。证书自动化不是单点能力，而是生态协同。我们可以把证书的签发做到自动化，但如果部署端跟不上，用户还是会遇到问题。这也是我们举办发布会的初衷，就是希望推动国内完整的证书自动化生态建设。

在实践中，我们已经和信安世纪等厂商完成了对接。当然，让证书和各类硬件网关真正打通，远不只是支持ACME协议那么简单。每个网关都有自己的私有协议，随着证书有效期缩短，他们的服务压力也越来越大。

另一方面，硬件厂商对CaaS也很关注。过去他们每年都希望收设备的维保费，但客户支付意愿不高。现在，如果把证书服务和维保打包在一起，形成订阅模式，就能让维保服务更易被接受，也更规范化。

从市场的角度来看，其实中国市场规模比整个欧盟还大。如果我们能先把CaaS在国内落地成熟，再用这个经验服务全球，这个业务就非常有想象空间，我们就可以逐渐更有能力成为一个全球化的公司。

目前，我们的主营业务已经在东南亚取得落地，同时我们也在上海浦东和松江建立了双活数据中心，为业务的高可用性和稳定运营提供了有力保障。有了这些基础打底，我们有信心一步步成长为具有国际竞争力的数字证书服务商。

谭晓生：听闻你们还在推Matter证书，这是什么？

翟新元：先说一下“Matter”这一概念，Matter是连接标准联盟（CSA）推动的物联网互联协议，简单来说，它能让苹果、谷歌、亚马逊等厂商的智能家居设备互联互通。

为确保设备通过Matter协议认证，Matter要求设备必须通过第三方CA认证。我们抓住机会，成为中国、也是亚太地区首家Matter PAA机构，为广大智能家居厂商提供高效的设备认证证书（DAC）颁发和管理服务，帮助他们在全球范围内实现高效、安全的设备认证与互联互通。

谭晓生：这一设备认证证书，对商用密码算法有要求吗？

翟新元：我们正在推动Matter协议支持商密算法。此前，我们和CSA主席曾前往上海浦东智能照明联合会，与联合会签署战略合作协议，并牵头制定了相关团体标准。我们在这一方向做了大量尝试，也得到了国家密码管理局领导的支持。

不过，由于Matter协议由国外主导，在实际推进过程中，商密算法与苹果、谷歌等操作系统存在兼容性问题，他们对引入商密算法的意愿不高。因此，目前这项工作仍处于探索和努力阶段。

谭晓生：听起来，你们似乎总能预见趋势、提前布局。这种能力从何而来？

翟新元：这很大程度上源于我们五年前一个至关重要的战略决策——加入CT（Certificate Transparency，证书透明度）生态，并成为全球仅有的六家（现为八家）CT日志服务商之一。这一选择，从根本上重塑了我们的技术路径与行业地位。

（截至发文时，全球 CT 日志运营商新增 Geomys 与 Ipng Networks 两家机构。）

谭晓生：什么是CT？能具体介绍一下吗？

翟新元：CT其实就是为所有颁发的SSL/TLS证书建立一套公开、可审计的日志体系，用来记录和监督每一张证书的发放情况。它要求CA在签发每一张证书前，都必须先将其信息（预证书）提交到全球多个公开的CT日志服务器进行“备案”并获取签名。

简单来说，就是每一家CA在发证书之前，都必须先经过CT的“备案”和签名。

谭晓生：等于是把发证的过程也纳入了审计，对吧？

翟新元：对，可以这么理解。CT其实结合了区块链和数字签名技术，让整个过程都可追溯、可验证。如今，浏览器在验证证书可信度时，也会检查其是否拥有足够数量的CT签名。缺少CT签名的证书，将被主流浏览器视为不安全。

谭晓生：原来证书签发的背后，已经变得如此复杂。

翟新元：是的。事实上，在我们之前，国内曾有数家公司尝试运营CT日志，但最终都选择了退出。原因在于，CT是一项对技术运维要求极高、需要持续投入大量资源，却难以直接产生收入的“公益事业”。

而我们之所以能坚持下来，得益于我们拥有一支极其坚韧、技术过硬的运维团队。 这个过程堪称“残酷”——谷歌的标准极为严苛，一旦不达标即面临出局。我们曾因一次运营失误，被谷歌劝退。当时，我以CEO身份郑重致信承诺，我们将不计成本地持续投入。

此后无论是深夜的会议，还是技术联调，我们都有团队成员全程参与，谷歌也认可了我们在专业能力和价值观层面的贡献——他们认为，我们是真正在为WebPKI做实事的公司。

至今，我们每年在CT业务上仍需投入数百万元，说实话，这些钱是“白掏”的，纯粹是出于对行业生态的责任。 但这份投入也带来了丰厚的回报：正因为长期深度参与全球WebPKI生态建设，在此次申请“专用根”嵌入谷歌时，我们的审核速度创下了历史纪录。谷歌的反馈很明确——他们认可我们与他们在理念和价值观上高度一致。

谭晓生：能进入这个圈子，确实来之不易。

翟新元：这个圈子的逻辑截然不同，这里不谈论商业故事，只崇尚技术贡献与行业责任。在这个领域，我们算是从“门外汉”一路摸索到现在，付出了很多。CT对技术和运维的要求，其实比做CA难得多。你要承担全球范围内的压力——包括像Let’s Encrypt这样每天发放海量免费证书的流量，所有证书都会提交到你的CT日志里，而你的服务不能有任何中断。它要求服务可用性必须达到99.9%，只要出一次问题，就会立刻被踢出局。

谭晓生：既要技术过硬，又要持续投入。那在CT这个生态里，你们具体为行业带来了哪些价值？

翟新元：举个例子，我们基于CT日志的全球数据，开发了一个密钥吊销信息共享系统，并免费开放给全球CA使用，有效填补了行业安全漏洞。

背景是这样的：当一张证书被吊销后，其对应的私钥就不能再用于发证。每家CA都会维护自己的黑名单库，记录被吊销的私钥。但这些黑名单彼此不互通。举例来说，如果Digicert吊销了某个私钥，我们无法得知；如果该私钥被再次用于申请证书，我们理论上无法拦截。

发现这一问题后，团队中有同事想到：既然CT日志记录了全球所有CA发出的证书数据，能否把全球各CA的吊销列表（CRL）收集起来，将其中的序列号与CT日志匹配，提取对应的公钥，形成一个统一的库？这样，整个行业就能互通地掌握哪些密钥已被吊销。

我们真的把这个系统做出来了，并免费向整个WebPKI行业开放。所有CA都可以直接调用，这相当于帮行业补上了一个重要的安全短板。

谭晓生：这确实是对全球网络安全实实在在的贡献！

翟新元：是的。在CT领域的投入，塑造了我们的价值观——我们不怕国际标准收紧，反而视其为机遇。 我们坚信，一个严格、公正的行业环境，最终会奖励那些愿意为数字信任基石添砖加瓦的长期主义者。

谭晓生：在今年，后量子密码是一个争议的焦点和热点，PQC密码方面，你们考虑是什么样的？

翟新元：在Web PKI领域，向PQC迁移已是一个明确的趋势。 目前，Chrome浏览器已支持抗量子算法，Nginx也有了相应的插件。作为CA，我们的系统现已具备签发符合NIST标准的PQC证书的能力。

谭晓生：但中国的相关标准似乎尚未最终确立？

翟新元：国内的话，今年2月，商用密码标准研究院面向全球公开征集新一代商用密码算法，覆盖公钥、杂凑、分组密码等方向，在10月，又进一步启动新一代公钥密码算法征集。

全球的时间表要求2030年完成从RSA/ECC到PQC的过渡。CA/B论坛正在讨论2026年CA开始支持PQC。一个有趣的契机是，我们加入Matter生态恰好与PQC的推广相结合。对亚数TrustAsia而言，PQC的第一个规模化商用场景可能出现在物联网领域。因为物联网生态相对私有，改造阻力小于整个开放的Web。如果到2029年量子计算取得突破，而物联网设备的芯片却不支持PQC，整个安全体系将面临巨大风险。因此，生态必须提前跑起来。

谭晓生：你对未来CA的生态有什么预测？未来的展望如何？

翟新元：过去，CA常被视为一个传统而封闭的领域。但AI的爆发，正在重新定义“数字信任”的边界。

我们重点关注两个方向：

其一，是AI生成内容的真实性认证（C2PA）。这是一个由微软、英特尔、索尼等巨头推动的联盟，旨在为相机、手机等创作设备及其编辑软件签发证书，从而实现数字内容的全程溯源与防伪。我们已与上海交通大学成立院士（专家）工作站，共同研究，愿景是让未来每一部中国生产的手机都内置由我们签发的信任根。

其二，是数字产品护照（DPP）。这是由联合国提出的概念，未来出口到欧盟的每一件商品（如服装）都需一个数字身份，记录其原材料、碳足迹等全生命周期信息。若由欧美第三方实验室执行，成本高昂。我们正在探索更经济可行的中国方案，这不仅能助力中国企业出口，更是将物理世界与数字信任连接的关键一步。

谭晓生：这已经完全超越了传统证书的范畴。

翟新元：没错。我们公司的愿景是“让数字世界，信任无处不在”。在评估新业务时，我们始终叩问：它是否符合这一使命？数字护照正是将信任从线上延伸到线下万物的实践。这不仅是巨大的商业机会，更是我们必须承担的时代责任，将为公司开辟无比广阔的未来空间。