← Cloudflare SSL/TLS / ssl / reference

Центры сертификации

Для получения публично доверенных сертификатов Cloudflare сотрудничает с разными удостоверяющими центрами (CA). На этой странице можно узнать, какие CA используются в каждом продукте Cloudflare, а также больше узнать об функции, ограничения и совместимость с браузерами.

• Поддерживает сроки действия продолжительностью 90 дней.
• Токены DCV действительны в течение 7 дней.

• Имя хоста в сертификате может содержать до 10 уровней поддоменов.
• Лимит на количество дублирующихся сертификатов: 5 сертификатов ↗ в неделю.
• Redsys¹ несовместим с сертификатами Let's Encrypt. Если вы используете Redsys и сталкиваетесь с проблемами при использовании сертификатов Let's Encrypt, закажите расширенный сертификат или загрузите пользовательский сертификат, чтобы использовать другой CA.

Главный фактор, определяющий, может ли платформа проверять сертификаты Let's Encrypt, это то, доверяет ли она самоподписанному сертификату ISRG Root X1. Как сообщила Let's Encrypt, изменение в цепочке доверия в 2024 году ↗, старые устройства (например, Android 7.0 и более ранние версии), которые доверяют только кросс-подписанной версии ISRG Root X1, больше не поддерживаются.

Полный список поддерживаемых клиентов можно найти в Документация Let's Encrypt ↗. Более старые версии клиентов Android и Java могут быть несовместимы с сертификатами Let's Encrypt.

Корневые удостоверяющие центры Let's Encrypt ↗: Для проверки совместимости между цепочкой и клиентом. Как описано в Закрепление сертификата, вам следует не используйте этот список в качестве эталона при пиннинге сертификатов.

• Поддерживает сроки действия продолжительностью 14, 30 и 90 дней.
• Токены DCV действительны в течение 14 дней.

При кросс-подписании с помощью Корневой CA GlobalSign ↗ который устанавливается на клиентских устройствах уже более 20 лет, Google Trust Services может обеспечить оптимальную поддержку на широком спектре устройств.

В настоящее время доверие обеспечивают Microsoft, Mozilla, Safari, Cisco, Oracle Java и браузер 360 от Qihoo, поэтому охвачены все браузеры и операционные системы, которые полагаются на эти корневые программы.

Вы можете использовать список корневых CA ↗ для проверки совместимости между цепочкой и клиентом, но, как поясняется в Закрепление сертификата, вам следует не используйте этот список в качестве эталона при пиннинге сертификатов.

• Поддерживает сроки действия продолжительностью 14, 30 и 90 дней. Клиенты Enterprise, использующие расширенные сертификаты также можно выбрать срок действия в один год.
• Токены DCV действительны в течение 14 дней.

Токены DCV от SSL.com привязаны отдельно к сертификатам RSA и сертификатам ECDSA. Это означает, что в случаях, когда вам нужно выполнить DCV вручную, вам придётся размещать по два токена проверки на каждый заказ сертификата. Чтобы избежать лишних сложностей в управлении, рассмотрите использование полная настройка, или настройка Делегированная DCV.

SSL.com отличается высокой совместимостью: сертификаты принимают более 99.9% браузеров, планшетов и мобильных устройств.

Сертификаты SSL.com перекрёстно подписан Certum ↗ и CA, выполняющий кросс-подписание промежуточных сертификатов ↗ датируется 2004 годом.

Допустимые домены верхнего уровня (TLD) и текущие ограничения ↗

• Используется только для Резервные сертификаты.
• Резервные сертификаты действительны в течение 90 дней.

См. документация Sectigo ↗.

DNS-запись авторизации удостоверяющего центра (CAA) указывает, каким удостоверяющим центрам (CA) разрешено выпускать сертификаты для домена. Она снижает риск несанкционированного выпуска сертификатов и способствует стандартизации в рамках вашей организации.

Если вы используете Cloudflare в качестве DNS-провайдера, записи CAA будут добавлены автоматически от вашего имени. Если вам нужно добавить записи CAA самостоятельно, обратитесь к Добавление записей CAA.

В следующей таблице приведено содержимое записи CAA для каждого CA: