Cloudflare ख़ुद प्रमाणपत्र जारी करना चाहता है: मुफ़्त CA का केंद्रीकरण

Cloudflare बरसों से 16 साझेदार सार्वजनिक CA पर निर्भर रहा है और उसने ख़ुद कभी एक भी सार्वजनिक रूप से विश्वसनीय प्रमाणपत्र जारी नहीं किया। अब वह ख़ुद एक CA बनना चाहता है, और दिलचस्प हिस्सा उसका डिज़ाइन है: एक ही CA के तहत पारंपरिक प्रमाणपत्र और Merkle Tree Certificates, और शुरू से ही विफलता को सीमित रखने की व्यवस्था।

प्रमाणपत्र का उपभोक्ता अब जारीकर्ता बनेगा #

ज़्यादातर इन्फ़्रास्ट्रक्चर कंपनियाँ प्रमाणपत्र संबंध के एक ही पक्ष में रहती हैं। वे प्रमाणपत्र माँगती हैं, उन्हें लगाती हैं, और जब किसी CA के साथ कोई घटना होती है तो शिकायत करती हैं। Cloudflare मज़बूती से उपभोक्ता पक्ष में रहा है। उसके अपने कथन के अनुसार, उसने ख़ुद कभी एक भी सार्वजनिक रूप से विश्वसनीय प्रमाणपत्र जारी नहीं किया।

यह बदलने वाला है, या कम से कम Cloudflare कहता है कि उसका ऐसा इरादा है। कंपनी सार्वजनिक प्रमाणपत्र प्राधिकरण बनने के अपने इरादे की घोषणा कर रही है। घोषणा इस बारे में सावधान है कि आज स्थिति क्या है, और इस लेख को भी होना चाहिए। Cloudflare अभी प्रमाणपत्र जारी नहीं कर रहा। सेवा के व्यवहार के बारे में सब कुछ, उसके ACME इंटरफ़ेस से लेकर नवीनीकरण नियमों और Merkle Tree Certificate समर्थन तक, योजना का बयान है, किसी चलती हुई प्रणाली का वर्णन नहीं।

घोषणा को विश्वसनीय महत्वाकांक्षा नहीं, बल्कि पहले से दिख रही तैयारी बनाती है। Cloudflare ने Chrome, Apple, Microsoft और Mozilla के रूट कार्यक्रमों में शामिल होने के लिए आवेदन किया है। उसका कहना है कि वह वेब के हर प्रमुख रूट कुंजी कार्यक्रम के साथ आवेदन और अनुमोदन प्रक्रिया से गुज़र रहा है, और वह बताता है कि ये प्रक्रियाएँ खुले में होती हैं। सिद्धांत रूप में कोई भी देख सकता है कि आवेदन सफल होता है या नहीं।

Cloudflare यह सवाल पूछने की स्थिति में क्यों है #

CA बनाने का Cloudflare का तर्क ग्राहक के रूप में उसकी स्थिति से शुरू होता है। वह वैश्विक इंटरनेट अनुरोध ट्रैफ़िक के 20 प्रतिशत से अधिक के सामने बैठा है। वह लाखों डोमेन के लिए TLS समाप्त करता है और हर साल लाखों प्रमाणपत्रों पर निर्भर करता है। वह अपने ग्राहकों को Universal SSL के ज़रिए प्रमाणपत्र पैक देता है, और अपनी प्रणालियाँ और आंतरिक संचालन चलाने के लिए कई अलग-अलग CA से प्रमाणपत्र भी लेता है।

ग्राहक सेवाएँ चालू रखने के लिए Cloudflare ये प्रमाणपत्र कई CA के ज़रिए प्राप्त करता है, प्राथमिक और बैकअप रास्तों के साथ, ताकि CA के आउटेज और निरस्तीकरण की घटनाओं के दौरान भी ग्राहक सेवाएँ चलती रहें। जिन साझेदार सार्वजनिक CA पर वह कई वर्षों से निर्भर रहा है, उनकी संख्या 16 है।

बैकअप व्यवस्था को क़रीब से देखना चाहिए, क्योंकि इससे पता चलता है कि Cloudflare विफलता के बारे में कैसे सोचता है। हर Universal SSL प्रमाणपत्र के साथ पहले से एक बैकअप प्रमाणपत्र आता है, जो अलग कुंजी से लिपटा होता है और किसी दूसरे प्राधिकरण से जारी होता है। अगर प्राथमिक प्रमाणपत्र कभी निरस्त या समझौता-ग्रस्त हो जाए, तो बैकअप अपने आप तैनात होने के लिए तैयार रहता है। यह किसी एक CA के गड़बड़ होने के ख़िलाफ़ बचाव है, जो संबंध के ग्राहक पक्ष से बनाया गया है।

इस बचाव की एक सीमा भी है। आप केवल उन्हीं CA में विविधता ला सकते हैं जो मौजूद हैं, और स्रोत का तर्क है कि सक्षम CA की आपूर्ति जितनी दिखती है उससे कम है।

केंद्रीकरण की समस्या #

इस तर्क के पीछे के आँकड़े चौंकाने वाले हैं। Let's Encrypt रोज़ लगभग एक करोड़ प्रमाणपत्र जारी करता है। वह 50 करोड़ से अधिक साइटों को सेवा देता है और 2025 में चार अरब सक्रिय प्रमाणपत्रों का आँकड़ा पार कर गया। ये एक ही मुफ़्त CA के आँकड़े हैं, और ये एक ऐसे वेब का वर्णन करते हैं जिसका एन्क्रिप्शन एक ही संगठन पर भारी रूप से टिका है।

स्रोत स्पष्ट निष्कर्ष निकालता है, एक उचित सावधानी के साथ: अगर प्रमुख मुफ़्त प्रमाणपत्र प्राधिकरण का एक हफ़्ता बुरा गुज़रे, तो वेब के बड़े हिस्से के पास भार उठाने के लिए कोई तुलनीय मुफ़्त, स्वचालित विकल्प तैयार नहीं होगा। यह एक काल्पनिक स्थिति के बारे में बयान है, और Cloudflare इसे इसी रूप में प्रस्तुत करता है। वह यह दावा नहीं करता कि ऐसा हफ़्ता आ चुका है, या आने वाला है।

फिर भी तर्क समझना आसान है। एक मुफ़्त, स्वचालित CA तभी लचीलेपन का विकल्प है जब वह आपात स्थिति से पहले मौजूद हो। Cloudflare की पेशकश यह है कि वह बड़े पैमाने पर एक दूसरा विकल्प दे सकता है। मेरा मानना है कि यह घोषणा का सबसे मज़बूत व्यावसायिक और तकनीकी कारण है, और यह योजना के किसी अधिक अटकलबाज़ हिस्से पर निर्भर नहीं करता। जिस वेब में एक प्रमुख मुफ़्त CA हो और बाक़ी कुछ ख़ास न हो, उसमें विफलता का एक ही बिंदु है, उस CA का संचालन चाहे जितना अच्छा हो।

रूट का इंतज़ार करने के बजाय उसे ख़रीदना #

घोषणा का सबसे व्यावहारिक फ़ैसला रूट से जुड़ा है। Cloudflare का कहना है कि उसने GlobalSign से एक स्थापित, व्यापक रूप से विश्वसनीय रूट ख़रीदने का निश्चित समझौता किया है। स्रोत सीधे कारण बताता है: एक बिल्कुल नया रूट बरसों तक व्यापक रूप से उपयोगी नहीं होता। इसके विपरीत मौजूदा GlobalSign रूट 2012 से ब्राउज़रों, ऑपरेटिंग सिस्टम और उपकरणों में विश्वसनीय माना जाता है।

रूट पर विश्वास धीरे बनता है क्योंकि वह उपकरणों में स्थापित होता है, और उपकरण धीरे अपडेट होते हैं। एक नया रूट हर कार्यक्रम में स्वीकार हो सकता है और फिर भी किसी पुराने फ़ोन या एम्बेडेड सिस्टम पर सत्यापित नहीं हो सकता। 2012 से मैदान में मौजूद रूट को ख़रीदना उस इंतज़ार से बचा देता है, कम से कम उस तरह जैसे स्रोत इसे प्रस्तुत करता है।

Cloudflare नए रूट का रास्ता पूरी तरह नहीं छोड़ रहा। वह रूट कुंजी कार्यक्रमों में शामिल होने के लिए एक नया रूट भी जमा करेगा, जिसे वह इकोसिस्टम की दिशा के अनुरूप बना बताता है, उन कार्यक्रमों सहित जो यह सीमा तय करने लगे हैं कि एक विश्वसनीय रूट कितना पुराना हो सकता है। यह आख़िरी बात याद दिलाती है कि उम्र के दोनों पहलू होते हैं। एक विश्वसनीय रूट की उम्र उपकरणों तक पहुँच के लिए संपत्ति है, और कुछ कार्यक्रम इस पर सीमा की ओर बढ़ रहे हैं कि विश्वसनीय रूट कितना पुराना हो सकता है। ख़रीदा हुआ रूट और नया आवेदन, दोनों साथ चलाना इसी तनाव का जवाब लगता है, हालाँकि स्रोत इस तर्क को इन शब्दों में नहीं कहता।

शर्तों के साथ ACME-प्रथम सेवा #

अपनाने के सवाल पर कई CA घोषणाएँ अस्पष्ट हो जाती हैं। Cloudflare स्पष्ट है। उसका सार्वजनिक CA ACME-प्रथम होगा, यानी वह Automated Certificate Management Environment प्रोटोकॉल बोलेगा जिसे मौजूदा स्वचालन पहले से इस्तेमाल करता है। दावा यह है कि जो कोई भी पहले से किसी मौजूदा मुफ़्त CA की ओर इशारा कर रहा है, वह एक directory URL बदलकर Cloudflare के CA पर जा सकता है, बिना नए उपकरणों के और बिना कुछ दोबारा बनाए। यह एक योजना है, परखा हुआ स्थानांतरण मार्ग नहीं, और इसे इसी तरह पढ़ना चाहिए। लेकिन एक पंक्ति का कॉन्फ़िगरेशन बदलाव सही लक्ष्य है, क्योंकि स्थानांतरण की लागत ही लोगों को डिफ़ॉल्ट पर टिकाए रखती है।

पेच एक ऐसी शर्त में है जिसे ज़्यादातर ACME उपयोगकर्ताओं को पूरा नहीं करना पड़ा है। Cloudflare केवल उन क्लाइंट को प्रमाणपत्र जारी करेगा जो ACME Renewal Information, यानी ARI, का समर्थन करते हैं, जो RFC 9773 में मानकीकृत है। ग्राहकों को ऐसा स्वचालन बनाए रखना होगा जो Cloudflare के नवीनीकरण एंडपॉइंट से नियमित रूप से पूछे, Cloudflare द्वारा प्रकाशित नवीनीकरण अवधियों पर अमल करे, और बताए कि वह किस प्रमाणपत्र को बदल रहा है।

यह एक दृढ़ रुख़ है, और मुझे लगता है कि यह सही है। इससे अपनाने को लेकर एक उचित सवाल भी उठता है: जो CA केवल ARI-सक्षम क्लाइंट को सेवा देता है, उसका दायरा उस CA से छोटा है जो ACME लाइब्रेरी वाले किसी भी व्यक्ति को सेवा देता है। स्रोत यह नहीं बताता कि आज इससे कितने क्लाइंट बाहर रह जाते हैं, इसलिए मैं अनुमान नहीं लगाऊँगा। वह यह ज़रूर बताता है कि Cloudflare यह शर्त क्यों चाहता है।

साइटें तोड़े बिना निरस्तीकरण #

Cloudflare कहता है कि उसने पिछले 16 वर्षों में कई चीज़ें देखी हैं, और उनमें से एक अवलोकन इस डिज़ाइन को चलाता है। उसने प्रमाणपत्र प्राधिकरणों को समय पर निरस्तीकरण और ग्राहकों की साइटें चालू रखने के बीच फँसते देखा है।

यह तनाव किसी भी CA के लिए वास्तविक है। किसी प्रमाणपत्र को जल्दी निरस्त करना जनता की रक्षा करता है, लेकिन अगर ग्राहक उसे जल्दी नहीं बदल पाता, तो उस प्रमाणपत्र पर निर्भर हर साइट बंद हो सकती है। बीच में फँसा CA या तो देर से निरस्त करता है या ग्राहकों को नुक़सान पहुँचाता है।

ARI इसका Cloudflare का जवाब है। जब प्रमाणपत्रों को सेवा से हटाना हो, तो Cloudflare कहता है कि वह प्रभावित प्रमाणपत्रों की नवीनीकरण अवधियाँ पहले ला सकता है। चूँकि ग्राहकों के लिए नवीनीकरण एंडपॉइंट से पूछना और प्रकाशित अवधियों पर अमल करना ज़रूरी है, CA कठोर निरस्तीकरण से पहले ही उन्हें प्रतिस्थापन की ओर ले जा सकता है। इस व्यवस्था को ऐसी क्षमता बताया गया है जो Cloudflare रखना चाहता है, ऐसी नहीं जो उसने CA के रूप में दिखाई हो। फिर भी तर्क सुसंगत है: पूछते रहने की शर्त इसीलिए है कि यह लीवर काम करे।

यही सोच एक व्यापक डिज़ाइन लक्ष्य में भी दिखती है। Cloudflare ऐसा प्रमाणपत्र प्राधिकरण बनाना चाहता है जिसकी विश्वसनीयता केवल ग़लतियों से बचने पर नहीं, बल्कि Cloudflare के बाक़ी उत्पादों की तरह, छोटे स्तर पर विफल होने और किसी एक समस्या का असर सीमित रखने पर निर्भर हो। ग़लतियों से बचना किसी CA के लिए ज़रूरी है, और कोई CA इसका पूरा वादा नहीं कर सकता। इस तरह डिज़ाइन करना कि ग़लती सीमित रहे, ज़्यादा ईमानदार इंजीनियरिंग रुख़ है।

ऑडिट से आगे पारदर्शिता #

सार्वजनिक CA को आम तौर पर ऑडिट से परखा जाता है। स्रोत उनकी सीमाओं के बारे में साफ़ है: ऑडिट एक समय-बिंदु के होते हैं और बताते हैं कि CA पास हुआ। वे यह नहीं बताते कि उसके बाद किसी भी मंगलवार को CA क्या कर रहा है।

Cloudflare का जवाब यह है कि वह प्रमाणपत्रों पर हस्ताक्षर करने वाले सॉफ़्टवेयर के reproducible builds प्रकाशित करेगा। इसे प्रतिबद्धता के रूप में रखा गया है, पूरी हो चुकी चीज़ के रूप में नहीं। Reproducible builds बाहरी लोगों को यह जाँचने देते हैं कि हस्ताक्षर मार्ग में चल रही बाइनरी प्रकाशित स्रोत कोड से मेल खाती है, जो एक निरंतर गुण है, जैसा ऑडिट रिपोर्ट नहीं है। यह पर्याप्त साबित होगा या नहीं, यह इस पर निर्भर करेगा कि Cloudflare वास्तव में क्या प्रकाशित करता है, और दूसरे उसे जाँचते हैं या नहीं।

घोषणा का दूसरा हिस्सा: Merkle Tree Certificates #

पोस्ट-क्वांटम सामग्री में घोषणा सबसे आगे की ओर देखती है। Cloudflare पोस्ट-क्वांटम प्रमाणपत्र देने वाले पहले CA में से एक होने की योजना घोषित करता है, और 2027 की पहली तिमाही में अपने पहले Merkle Tree Certificates जारी करने की योजना बनाता है। स्रोत का एक और अंश कहता है कि पहले MTCs 2027 की शुरुआत में अपेक्षित हैं। दोनों योजनाएँ हैं।

स्रोत MTCs को सार्वजनिक रूप से विश्वसनीय प्रमाणपत्र देने का एक नया और कहीं अधिक संक्षिप्त तरीक़ा बताता है। यह शब्दावली एक वर्णन है, और जिन अंशों से मैं काम कर रहा हूँ उनमें स्रोत माप नहीं देता, इसलिए मैं नहीं कह सकता कि यह कितना अधिक संक्षिप्त है। Cloudflare कहता है कि वह IETF में MTCs के मानक-आधारित प्रस्ताव का समर्थन करता रहा है। वह यह भी बताता है कि Chrome ने इस साल की शुरुआत में MTCs को पोस्ट-क्वांटम प्रमाणीकरण का पसंदीदा रास्ता बताया। यह एक दिखाई गई घटना है, और यह मायने रखती है, क्योंकि किसी ब्राउज़र निर्माता की घोषित पसंद ही किसी प्रस्ताव को ऐसी चीज़ बनाती है जिसके इर्द-गिर्द CA योजना बना सके।

Cloudflare बदलाव के अचानक होने की उम्मीद नहीं करता। उसे उम्मीद है कि इंटरनेट का बड़ा हिस्सा कई और वर्षों तक पारंपरिक प्रमाणपत्रों और मौजूदा WebPKI पर निर्भर रहेगा। उस अवधि में उसे उम्मीद है कि जारी होने वाले प्रमाणपत्रों में MTCs का हिस्सा लगातार बढ़ेगा। ये अपेक्षाएँ हैं, और स्रोत इन्हें इसी रूप में दर्ज करता है।

एक CA, एक जीवनचक्र #

इससे निकलने वाला संरचनात्मक फ़ैसला मुझे सबसे अधिक विश्वसनीय लगता है। नया CA पारंपरिक प्रमाणपत्रों और Merkle Tree Certificates को एक ही CA के तहत, एक जीवनचक्र और गारंटियों के एक ही समूह के साथ चलाने के लिए बनाया गया है। ग्राहक तब अपनी सुविधा की गति से अपना सकते हैं और बिना किसी कठोर बदलाव के वेब को यह पार करने में मदद कर सकते हैं।

विकल्प है दो समानांतर CA, प्रक्रियाओं के दो समूह, और किसी बिंदु पर ज़बरदस्ती का स्थानांतरण। कठोर बदलाव किसी प्रमाणपत्र इकोसिस्टम को बदलने का सबसे जोखिम भरा तरीक़ा है, और स्रोत का घोषित लक्ष्य इससे बचना है। शब्दावली सावधान है, और सही है: यह एक ऐसे CA का डिज़ाइन इरादा है जो अभी जारी नहीं करता।

यह प्रोत्साहनों की तस्वीर से भी मेल खाता है। Cloudflare कहता है कि उसे उम्मीद है कि हर साल जिन प्रमाणपत्रों पर वह निर्भर है उनकी संख्या बढ़ती रहेगी, क्योंकि अधिकतम वैधता अवधि घट रही है, एजेंटिक गतिविधि बढ़ रही है और पोस्ट-क्वांटम प्रमाणपत्र मुख्यधारा में आ रहे हैं। ज़्यादा प्रमाणपत्र, ज़्यादा बार जारी होना, स्वचालन के पक्ष में और ऐसे CA के पक्ष में तर्क है जो नवीनीकरण को प्रथम श्रेणी का संचालन माने। ARI और एक जीवनचक्र के इर्द-गिर्द बनी प्रणाली उस अपेक्षा का उचित जवाब है, हालाँकि अपेक्षा ख़ुद एक पूर्वानुमान है, माप नहीं।

Customer Zero #

जनता के निर्भर होने से पहले किसी CA को कैसे परखें? Cloudflare का जवाब है ख़ुद अपना पहला ग्राहक बनना। वह नए CA और उसके प्रमाणपत्रों, WebPKI और MTC दोनों, के लिए Customer Zero होगा। घोषित उद्देश्य यह सुनिश्चित करना है कि नई प्रणालियों और प्रक्रियाओं के सभी पहलू Cloudflare के ऊँचे आंतरिक मानकों पर खरे उतरें, और CA का इन्फ़्रास्ट्रक्चर Cloudflare के पैमाने पर परखा जाए।

पहले के आँकड़ों को देखते हुए यह कठिन आंतरिक भार है: हर साल लाखों प्रमाणपत्र, एक ऐसी कंपनी में जो वैश्विक अनुरोध ट्रैफ़िक के 20 प्रतिशत से अधिक के सामने बैठी है। संचालन के पहले वर्ष सुचारु रहेंगे या नहीं, यह दावे हमें नहीं बता सकते। वे जो दिखाते हैं वह काम का एक समझदार क्रम है। कंपनी उस चीज़ के भारी उपयोगकर्ता के रूप में शुरू करती है जिसे वह बना रही है, उसके पीछे बहु-CA प्रावधान, बैकअप रास्तों और 16 साझेदार CA का इतिहास है।

जो ग़ायब है उसके बारे में साफ़ होना ज़रूरी है। स्रोत में Cloudflare के अपने CA के लिए जारी करने की मात्रा, त्रुटि दर, सत्यापन विलंब या घटनाओं का इतिहास नहीं है, क्योंकि अभी ऐसा कोई इतिहास नहीं है। घोषणा इरादे का बयान है, जिसके पीछे आवेदन, एक अधिग्रहण समझौता और एक डिज़ाइन है। यह कोई ट्रैक रिकॉर्ड नहीं है।

किन बातों पर नज़र रखें #

तीन बातें तय करेंगी कि यह WebPKI में एक सार्थक जोड़ है या सिर्फ़ एक दिलचस्प घोषणा।

पहली है रूट कार्यक्रम। Cloudflare ने Chrome, Apple, Microsoft और Mozilla में आवेदन किया है, और प्रक्रियाएँ खुले में हैं। उन पर नज़र रखना यह देखने का सबसे सीधा तरीक़ा है कि योजना कितनी आगे बढ़ी है, और नतीजा ऐसा नहीं है जिसका अनुमान कोई दावा मुझे लगाने दे।

दूसरी है ARI की शर्त। जो CA RFC 9773 समर्थन पर ज़ोर देता है, वह दांव लगा रहा है कि नवीनीकरण स्वचालन को उसके पूरे ग्राहक आधार में आगे बढ़ाया जा सकता है। अगर दांव सही है, तो Cloudflare को यह क्षमता मिलती है कि प्रमाणपत्र हटाने हों तो वह नवीनीकरण अवधियाँ पहले ला सके, जो उसके देखे निरस्तीकरण दुविधा का घोषित जवाब है। अगर ग़लत है, तो अपनाना एक-पंक्ति स्थानांतरण की कहानी से धीमा होगा।

तीसरी है 2027 की पहली तिमाही। तभी Cloudflare अपने पहले Merkle Tree Certificates की योजना बना रहा है। खुला सवाल यह है कि लगातार बढ़ने वाला जो हिस्सा वह अपेक्षित करता है, वह वास्तव में कितनी तेज़ी से बढ़ेगा, जबकि उसका अपना मानना है कि इंटरनेट का बड़ा हिस्सा कई और वर्षों तक पारंपरिक प्रमाणपत्रों पर रहेगा। कंपनी ने कहा है कि इस पार जाने के लिए कठोर बदलाव की ज़रूरत नहीं होनी चाहिए। 2027 की पहली तिमाही यह देखने का पहला मौक़ा होगी कि दोनों प्रकार के प्रमाणपत्र चलाने वाला एक CA इसे सच कर सकता है या नहीं।

क्षेत्र-वार इसका क्या अर्थ है #

एज इन्फ़्रास्ट्रक्चर प्रदाता की ओर से एक बड़े पैमाने के, स्वचालित सार्वजनिक प्रमाणपत्र प्राधिकरण का उदय कई तकनीकी क्षेत्रों में परिचालन जोखिम और PKI योजना को बदल देता है।

क्लाउड इन्फ़्रास्ट्रक्चर और एज नेटवर्क #

एज पैमाने पर सार्वजनिक CA चलाने से तृतीय-पक्ष सत्यापन API और CRL पर बाहरी निर्भरता घटती है। reverse-proxy एज टर्मिनेशन को स्वचालित ACME ARI नवीनीकरण से जोड़कर इन्फ़्रास्ट्रक्चर प्रदाता अपने ग्राहकों को ऊपरी प्रमाणपत्र प्राधिकरण के आउटेज से बचा सकते हैं।

एंटरप्राइज़ PKI और DevOps टीमें #

सार्वजनिक एंडपॉइंट के लिए Let's Encrypt पर निर्भर संगठनों को एक विश्वसनीय, स्वचालित विकल्प मिलता है। लेकिन RFC 9773 (ARI) के अनिवार्य प्रवर्तन का अर्थ है कि directory एंडपॉइंट बदलने से पहले टीमों को अपने ACME क्लाइंट (Certbot, Lego, Caddy, Traefik) का ऑडिट करना होगा ताकि ARI समर्थन सक्रिय हो।

ब्राउज़र निर्माता और रूट शासन #

रूट कार्यक्रमों (Chrome, Mozilla, Apple, Microsoft) के सामने बड़े पैमाने के स्वचालित CA का बढ़ता इकोसिस्टम है। दोहरे रास्ते वाला रूट तरीक़ा (2012 का एक पुराना रूट ख़रीदना और साथ में एक आधुनिक रूट जमा करना) उन ब्राउज़र नीतियों के बीच रास्ता निकालता है जो रूट प्रमाणपत्र की आयु पर लगातार पाबंदी लगा रही हैं, और पुराने उपकरणों के लिए पिछली संगतता बनाए रखता है।

निष्कर्ष #

सार्वजनिक प्रमाणपत्र प्राधिकरण बनने का Cloudflare का क़दम आधुनिक WebPKI की एक वास्तविक संरचनात्मक कमज़ोरी को संबोधित करता है: मुफ़्त, स्वचालित प्रमाणपत्र जारी करने में अत्यधिक केंद्रीकरण। एक स्थापित GlobalSign रूट, सख़्त ARI नवीनीकरण स्वचालन और पोस्ट-क्वांटम Merkle Tree Certificates की ओर एक पुल को जोड़कर, यह डिज़ाइन सिर्फ़ प्रमाणपत्र प्रावधान नहीं, बल्कि परिचालन लचीलेपन को साधता है। सफलता रूट कार्यक्रमों की मंज़ूरी से और इस बात से तय होगी कि 2027 के रोलआउट से पहले क्लाइंट उपकरण ARI मानकों को कितनी तेज़ी से अपनाते हैं।

अक्सर पूछे जाने वाले प्रश्न #

क्या मैं आज अपने ACME क्लाइंट को Cloudflare के CA पर बदल सकता हूँ?

अभी नहीं। Cloudflare ने अपना इरादा घोषित किया है, रूट अधिग्रहण समझौते पर हस्ताक्षर किए हैं, और प्रमुख रूट कार्यक्रमों में आवेदन जमा किए हैं। सार्वजनिक रूप से जारी करना रूट कार्यक्रमों की मंज़ूरी के बाद शुरू होना तय है।

ACME Renewal Information (ARI) क्या है और यह क्यों मायने रखता है?

ARI (RFC 9773) ACME प्रोटोकॉल का एक विस्तार है जो प्रमाणपत्र प्राधिकरणों को ग्राहकों को यह सलाह देने देता है कि किसी प्रमाणपत्र को कब नवीनीकृत किया जाए। इससे CA नियोजित निरस्तीकरण से पहले शुरुआती नवीनीकरण को सहज रूप से समन्वित कर पाते हैं, और साइटें बंद होने से बचती हैं।

Merkle Tree Certificates (MTCs) मानक X.509 प्रमाणपत्रों से कैसे अलग हैं?

MTCs पारंपरिक अलग-अलग क्रिप्टोग्राफ़िक हस्ताक्षरों की जगह सार्वजनिक रूप से सत्यापन योग्य लॉग में स्थापित Merkle समावेशन प्रमाणों का उपयोग करते हैं। इससे प्रमाणपत्र का आकार और प्रसारण का भार काफ़ी घटता है, और वे पोस्ट-क्वांटम TLS प्रमाणीकरण के पसंदीदा उम्मीदवार बनते हैं।

संदर्भ #

• Cloudflare, (2026). पूरे इंटरनेट के लिए एक प्रमाणपत्र प्राधिकरण बनाना ⧉. Cloudflare Blog.
• IETF, (2024). RFC 9773: Automated Certificate Management Environment (ACME) Renewal Information (ARI) ⧉. IETF.
• IETF, (2025). TLS के लिए Merkle Tree Certificates ⧉. IETF.
• Chrome Root Program, (2026). पोस्ट-क्वांटम प्रमाणीकरण पर नीति और विचार ⧉. Chromium Projects.

अंतिम समीक्षा 2026-09-20.

अंतिम समीक्षा 2026-10-27.

# Cloudflare ख़ुद प्रमाणपत्र जारी करना चाहता है: मुफ़्त CA का केंद्रीकरण — Sebastien Rousseau

> Originally published at [https://sebastienrousseau.com/hi/2026-09-20-cloudflare-khud-pramanpatra-jari-karna-chahta/](https://sebastienrousseau.com/hi/2026-09-20-cloudflare-khud-pramanpatra-jari-karna-chahta/)

Cloudflare सार्वजनिक प्रमाणपत्र प्राधिकरण बनना चाहता है: GlobalSign का रूट, अनिवार्य ARI नवीनीकरण और Merkle Tree Certificates, ताकि मुफ़्त CA पर निर्भरता घटे।

Read the full article on sebastienrousseau.com: https://sebastienrousseau.com/hi/2026-09-20-cloudflare-khud-pramanpatra-jari-karna-chahta/

Cloudflare ख़ुद प्रमाणपत्र जारी करना चाहता है: मुफ़्त CA का केंद्रीकरण — Sebastien Rousseau

Cloudflare सार्वजनिक प्रमाणपत्र प्राधिकरण बनना चाहता है: GlobalSign का रूट, अनिवार्य ARI नवीनीकरण और Merkle Tree Certificates, ताकि मुफ़्त CA पर निर्भरता घटे।

https://sebastienrousseau.com/hi/2026-09-20-cloudflare-khud-pramanpatra-jari-karna-chahta/

Cloudflare ख़ुद प्रमाणपत्र जारी करना चाहता है: मुफ़्त CA का केंद्रीकरण — Sebastien Rousseau

Cloudflare सार्वजनिक प्रमाणपत्र प्राधिकरण बनना चाहता है: GlobalSign का रूट, अनिवार्य ARI नवीनीकरण और Merkle Tree Certificates, ताकि मुफ़्त CA पर निर्भरता घटे।.

यहाँ मुख्य रणनीतिक निष्कर्ष हैं:

- प्रमाणपत्र का उपभोक्ता अब जारीकर्ता बनेगा. ज़्यादातर इन्फ़्रास्ट्रक्चर कंपनियाँ प्रमाणपत्र संबंध के एक ही पक्ष में रहती हैं। वे प्रमाणपत्र माँगती हैं, उन्हें लगाती हैं, और जब किसी CA के साथ कोई घटना होती है तो शिकायत करती हैं। Cloudflare मज़बूती से उपभोक्ता…
- Cloudflare यह सवाल पूछने की स्थिति में क्यों है. CA बनाने का Cloudflare का तर्क ग्राहक के रूप में उसकी स्थिति से शुरू होता है। वह वैश्विक इंटरनेट अनुरोध ट्रैफ़िक के 20 प्रतिशत से अधिक के सामने बैठा है। वह लाखों डोमेन के लिए TLS समाप्त करता है और हर साल लाखों…
- केंद्रीकरण की समस्या. इस तर्क के पीछे के आँकड़े चौंकाने वाले हैं। Let's Encrypt रोज़ लगभग एक करोड़ प्रमाणपत्र जारी करता है। वह 50 करोड़ से अधिक साइटों को सेवा देता है और 2025 में चार अरब सक्रिय प्रमाणपत्रों का आँकड़ा पार कर गया। ये एक ही…
- रूट का इंतज़ार करने के बजाय उसे ख़रीदना. घोषणा का सबसे व्यावहारिक फ़ैसला रूट से जुड़ा है। Cloudflare का कहना है कि उसने GlobalSign से एक स्थापित, व्यापक रूप से विश्वसनीय रूट ख़रीदने का निश्चित समझौता किया है। स्रोत सीधे कारण बताता है: एक बिल्कुल नया रूट…

इस लेख में उल्लिखित चुनौतियों के प्रति आपके संगठन का दृष्टिकोण क्या है?

→ https://sebastienrousseau.com/hi/2026-09-20-cloudflare-khud-pramanpatra-jari-karna-chahta/

#Cloudflare #प्रमाणपत्रप्राधिकरण #सार्वजनिकCa #Let'sEncrypt #Globalsign

Sebastien Rousseau | CC-BY-4.0

@online{rousseau2026cloudflare,
  author  = {Rousseau, Sebastien},
  title   = {{Cloudflare ख़ुद प्रमाणपत्र जारी करना चाहता है: मुफ़्त CA का केंद्रीकरण — Sebastien Rousseau}},
  year    = {2026},
  url     = {https://sebastienrousseau.com/hi/2026-09-20-cloudflare-khud-pramanpatra-jari-karna-chahta/},
  urldate = {2026}
}

TY  - GEN
AU  - Rousseau, Sebastien
TI  - Cloudflare ख़ुद प्रमाणपत्र जारी करना चाहता है: मुफ़्त CA का केंद्रीकरण — Sebastien Rousseau
PY  - 2026
UR  - https://sebastienrousseau.com/hi/2026-09-20-cloudflare-khud-pramanpatra-jari-karna-chahta/
ER  -

Rousseau S. Cloudflare ख़ुद प्रमाणपत्र जारी करना चाहता है: मुफ़्त CA का केंद्रीकरण — Sebastien Rousseau. sebastienrousseau.com. 2026 Sep 20. Available from: https://sebastienrousseau.com/hi/2026-09-20-cloudflare-khud-pramanpatra-jari-karna-chahta/

Rousseau, Sebastien. "Cloudflare ख़ुद प्रमाणपत्र जारी करना चाहता है: मुफ़्त CA का केंद्रीकरण — Sebastien Rousseau." sebastienrousseau.com. September 20, 2026. https://sebastienrousseau.com/hi/2026-09-20-cloudflare-khud-pramanpatra-jari-karna-chahta/.

Rousseau, S. (2026, September 20). Cloudflare ख़ुद प्रमाणपत्र जारी करना चाहता है: मुफ़्त CA का केंद्रीकरण — Sebastien Rousseau. sebastienrousseau.com. https://sebastienrousseau.com/hi/2026-09-20-cloudflare-khud-pramanpatra-jari-karna-chahta/

Cloudflare ख़ुद प्रमाणपत्र जारी करना चाहता है: मुफ़्त CA का केंद्रीकरण — Sebastien Rousseau

Cloudflare सार्वजनिक प्रमाणपत्र प्राधिकरण बनना चाहता है: GlobalSign का रूट, अनिवार्य ARI नवीनीकरण और Merkle Tree Certificates, ताकि मुफ़्त CA पर निर्भरता घटे।

Originally published at https://sebastienrousseau.com/hi/2026-09-20-cloudflare-khud-pramanpatra-jari-karna-chahta/ by Sebastien Rousseau.
Licensed under CC-BY-4.0.

SEBASTIEN ROUSSEAU · FOUNDER · ENGINEER