CFCA官宣9月中旬切换新版根证书，老旧终端存在兼容风险

近日，中金金融认证中心CFCA正式发布公告，宣布将于9月中旬正式切换新版G2根证书，后续新签发的OV、EV类型SSL证书，签发路径将迁移至CFCAGlobalRSAROOTG2新根体系。本次根证书升级将带来更长有效期与更高安全等级，但部分老旧操作系统、嵌入式终端、物联网设备并未预置新版根证书，存在网站访问报错、HTTPS握手失败、业务中断等兼容风险，广大企业站长、运维人员需要提前开展兼容性排查工作。

一、根证书升级背景：完善长期可信安全体系

根证书是HTTPS信任体系的基石，浏览器、服务器、智能设备依靠系统内置的根证书列表，判断网站SSL证书是否可信。随着网络安全威胁不断升级，根证书也需要定期迭代更新，规避密钥泄露风险。

本次CFCA启用全新G2根证书，有效期至2048年，大幅拉长可信周期，适配未来二十余年的数字加密业务需求。新根同时获得原有老根证书的交叉签名，保障主流新版操作系统、浏览器可以正常完成信任校验，尽可能降低大范围兼容故障。存量已经签发完成的CFCA证书不受本次切换影响，到期之前均可正常使用，只有9月中旬之后新申请、续费重签的证书才会启用全新的证书信任链。

二、本次升级面临的核心兼容风险

虽然新版根证书带有交叉签名实现过渡兼容，但老旧终端、低版本系统、物联网硬件设备仍是高危重灾区。如果设备系统信任库内没有预置CFCA新根证书，并且无法识别交叉签名链路，访问部署新版证书的网站时，就会弹出“证书不受信任”“连接不安全”的警告，最终导致HTTPS访问失败。

容易出现故障的设备包含几大类：老旧Windows系统、低版本安卓手机、早期智能工控设备、物联网网关、收银终端、自助查询机、老旧嵌入式程序、内置客户端软件。很多自研业务系统、App客户端会手动预埋旧版中间根证书，并未采用操作系统自带信任库校验，证书链切换之后，预埋校验逻辑将直接校验失败，引发接口请求中断、业务无法连通等严重故障。

值得注意的是，普通新版电脑、手机浏览器基本不会出现访问异常，风险主要集中于企业后端业务系统、线下硬件终端，很容易被运维团队忽略。

三、根证书切换对于网站与业务带来的影响

对于普通官网站点，9月之后续费更换证书时，只要完整上传由CA提供的证书链文件，大部分用户访问不会受到影响。但面向线下硬件、老旧客户系统提供服务的金融、政务、商超、工业物联网企业，则需要高度重视本次变更。

一旦兼容故障爆发，外部终端无法调用HTTPS接口，线上业务、线下自助设备就会出现大面积瘫痪。故障排查难度较高，表面现象为网站打不开，根源却是客户端缺少新版根信任，单纯修改Web服务器配置无法解决问题。企业需要同时改造客户端信任库，才能彻底消除隐患。

四、企业运维排查与风险应对建议

距离9月中旬切换窗口期越来越近，运维团队应当立刻启动四项排查工作。

1、梳理全部CFCA签发证书清单，标记证书到期续费时间，判断是否会在切换节点之后进行重签更新。

2、全面排查客户端设备清单，列出老旧终端、嵌入式硬件、自研App等高危对象，开展兼容性测试。搭建测试环境，部署一张由新G2根签发的测试证书，模拟终端访问，检验能否正常建立HTTPS连接。

3、检查业务代码，停止在程序内硬编码预埋中间根证书的做法，优先调用操作系统自带信任列表完成校验，降低后续CA证书迭代带来的维护成本。

4、提前下载CFCA新版G2根证书，对于无法升级系统信任库的老旧设备，可手动导入新根完成信任配置，预留充足缓冲时间，避免切换日突发业务故障。

根证书升级属于底层基础设施变更，短期兼容风险不可忽视，提前完成排查测试，才能平稳度过本次根体系切换，保障HTTPS业务长期安全稳定运行。