Cloudflare создаёт собственный публичный удостоверяющий центр — бесплатную альтернативу Let's Encrypt

Cloudflare подала заявки на включение в корневые программы Chrome, Apple, Microsoft и Mozilla и подписала окончательное соглашение о покупке у GlobalSign действующего корневого сертификата, которому браузеры, ОС и устройства доверяют с 2012 года. Так компания сразу получает совместимость со старыми устройствами, до которых новый собственный корень никогда бы не дошёл, а параллельно готовит новые корни под будущие правила, ограничивающие максимальный возраст доверенного корня.

Главная цель — дать интернету резервный источник бесплатных TLS-сертификатов на случай серьёзного сбоя Let's Encrypt, на котором сейчас держится большая часть автоматического бесплатного выпуска. Cloudflare также ожидает роста спроса на сертификаты из-за сокращения их максимального срока действия, распространения ИИ-агентов и перехода на постквантовую криптографию. Сертификаты пока не выдаются, точная дата запуска обычного выпуска не названа.

40%доля Let's Encrypt на рынке сертификатов

89%доля топ-5 удостоверяющих центров

1 квартал 2027старт выпуска Merkle Tree Certificates

Выпуск будет бесплатным и только через протокол ACMEi, поэтому переход с другого удостоверяющего центра сведётся к смене URL директории
Обязательное условие получения сертификата — поддержка клиентом ARI (ACME Renewal Information, RFC 9773): автоматика должна опрашивать эндпоинт продления и перевыпускать сертификат в назначенное УЦ окно
Это позволит при массовом отзыве сертификатов сдвигать окна продления и заменять сертификаты без простоя сайтов
Cloudflare обещает воспроизводимые сборки подписывающего ПО, аттестацию HSM (где хранятся ключи) и публичный дашборд со статусом выпуска и инцидентами
Первыми будут выпущены Merkle Tree Certificates (MTC)i — компактный постквантовый формат, который Chrome назвал предпочтительным путём аутентификации; их выпуск в продакшене намечен на 1 квартал 2027 года
Обычные и постквантовые (MTC) сертификаты будет выдавать один и тот же УЦ с общим жизненным циклом
По данным «БлоGнот», Let's Encrypt сейчас обслуживает почти 40% сертификатов в мире, а пять крупнейших УЦ выпускают 89% всех сертификатов; Cloudflare уже сегодня раздаёт бесплатные сертификаты своим пользователям, не требуя установки сертификата на origin

Что дальше

Компания ожидает решения браузеров и ОС (Chrome, Apple, Microsoft, Mozilla) о включении в их корневые программы; после этого начнётся обычный выпуск сертификатов, дата которого пока не объявлена, а в 1 квартале 2027 года планируется первый выпуск постквантовых сертификатов MTC.

Здесь появится ссылка, когда это произойдёт.

Cloudflare создаёт собственный публичный удостоверяющий центр — бесплатную альтернативу Let's Encrypt

Обсуждение