背景

全球知名信任库 Mozilla 对于 CA 根证书的信任策略包含：全球所有 CA 的可信根证书生成后最少 15 年更换一次。过期的根证书将会逐步被 Mozilla 停止信任。（sha1签名要逐步替换，当前用到的根也要替换）

从 2025 年开始，Mozilla 将停止信任 DigiCert 下的一些老的根证书。

DigiCert 是全球的顶级CA机构（最常见畅销的品类，曾收购赛门铁克CA业务）；在23年3月在全球范围进行下一代根证书轮换，将这些根证书升级到新的 G2 根体系，以避免 DigiCert 证书的使用受到影响。目前新申请Digicert证书均为DigiCert Global Root G2签发

提醒：后续几年仍持续有其他CA机构会做根升级操作，如果能实现授信列表更新能降低未来风险。

验证方式与建议

验证手段：

通过服务或者sdk能够正常访问G2根的网站，tls握手成功即完成升级，不受g2根影响
使用G2根的域名 DigiCert Global Root G2，域名：https://www.digicert.com/

验证通过：

能够正常返回，并完成SSL握手

异常现象：

SSL握手失败，x509异常，提示服务端证书不授信，导致无法建立正常的https

常见解决方案，大体方案：

更新证书
从DigiCert Root Certificates - Download & Test | DigiCert.com或者相应的证书官网下载
如果是linux系统，更新到此文件中/etc/ssl/certs/ca-certificates.crt（此文件是示例，具体放置位置，需要根据系统类型和代码读取位置来定）

如果是java建议尝试更新jdk版本

如果是windows，可以参考：【Windows版】本地缺失根证书自助排查以及解决方法

建议

为了确保自身的系统信任，尽可能确保系统中信任/包含以下根(至少有 g2、g3、r3，如果避免近几年再次升级，可以包含下面所有的根)：DigiCert Global Root 、DigiCert Global Root G2、DigiCert Global Root G3、DigiCert Global Root G5、GlobalSign Root CA - R1、GlobalSign Root CA - R3 、GlobalSign Root CA - R6