CA
证书颁发机构（CA）是负责签发和管理数字证书的受信任第三方实体，是PKI（公钥基础设施）信任链的核心环节。
核心事实
时间轴 (近 90 天)
商业CA的整合会持续，通用证书市场进一步基础设施化，而企业身份服务成为CA机构的主要增长点。
一家CA若想其证书被浏览器信任，必须通过WebTrust等第三方审计并持续满足CA/B论坛的基线要求。
CA退出业务时，若CRL/OCSP服务提前下线，客户端将无法确认证书状态，部分严格模式的浏览器或系统可能直接报错。
这类事件的根因往往不是密码学被攻破，而是 CA 运营方的访问控制、密钥管理或供应链安全出现疏漏。
对依赖第三方 CA 的组织而言，供应商安全评估应当把密钥管理实践纳入考察范围。
浏览器地址栏上的“锁”只代表连接经过了某个CA的签名，并不等于对方身份绝对可信。
此次拒绝特定 SPKI 是 Go 主动防御策略的延续，但精确到公钥层面，意味着即使某个 CA 整体仍被信任，其特定公钥也可被单独标记为不可信。
历史上，Go 曾多次通过发布新版本移除或拒绝特定根证书，例如在发现某些 CA 存在不当签发行为后。
基于公钥哈希的拒绝机制比基于 CA 名称或根证书的拒绝更精确，因为同一 CA 可能签发多个不同公钥的证书，攻击者也可能通过交叉签名等方式滥用证书。
从 SHA-1 碰撞攻击的公开演示到主流浏览器和 CA 全面弃用 SHA-1，花了将近十年。
还有 2 条时间轴事件
全部知识事实 (13)
SSL/TLS证书通过非对称加密技术建立安全通道，由受信任的CA（证书颁发机构）签发
75%待验证一家CA若想其证书被浏览器信任，必须通过WebTrust等第三方审计并持续满足CA/B论坛的基线要求。
50%待验证CA退出业务时，若CRL/OCSP服务提前下线，客户端将无法确认证书状态，部分严格模式的浏览器或系统可能直接报错。
50%待验证这类事件的根因往往不是密码学被攻破，而是 CA 运营方的访问控制、密钥管理或供应链安全出现疏漏。
50%待验证对依赖第三方 CA 的组织而言，供应商安全评估应当把密钥管理实践纳入考察范围。
50%待验证浏览器地址栏上的“锁”只代表连接经过了某个CA的签名，并不等于对方身份绝对可信。
50%待验证此次拒绝特定 SPKI 是 Go 主动防御策略的延续，但精确到公钥层面，意味着即使某个 CA 整体仍被信任，其特定公钥也可被单独标记为不可信。
50%待验证基于公钥哈希的拒绝机制比基于 CA 名称或根证书的拒绝更精确，因为同一 CA 可能签发多个不同公钥的证书，攻击者也可能通过交叉签名等方式滥用证书。
50%待验证历史上，Go 曾多次通过发布新版本移除或拒绝特定根证书，例如在发现某些 CA 存在不当签发行为后。
50%待验证从 SHA-1 碰撞攻击的公开演示到主流浏览器和 CA 全面弃用 SHA-1，花了将近十年。
50%待验证CA信任体系的安全性取决于最薄弱的那个CA，任一CA被攻破或存在验证缺陷即可能导致为非拥有域名签发合法证书
50%待验证TLS证书由受信任的证书颁发机构（CA）签发，用于证明某个域名的所有权和身份真实性
50%待验证商业CA的整合会持续，通用证书市场进一步基础设施化，而企业身份服务成为CA机构的主要增长点。
50%