Cloudflare muốn tự cấp chứng chỉ vì sự tập trung của CA miễn phí

Nhiều năm qua, Cloudflare dựa vào 16 tổ chức cấp chứng chỉ công khai đối tác mà chưa từng tự cấp một chứng chỉ được tin cậy công khai nào. Giờ đây công ty dự định trở thành một tổ chức như vậy, và điểm đáng chú ý là thiết kế: chứng chỉ cổ điển và Merkle Tree Certificates dưới cùng một CA, với khả năng khoanh vùng sự cố được xây dựng ngay từ đầu.

Bên tiêu thụ chứng chỉ trở thành bên cấp chứng chỉ #

Phần lớn các công ty hạ tầng chỉ đứng ở một phía của mối quan hệ chứng chỉ. Họ yêu cầu chứng chỉ, cài đặt chúng, và phàn nàn khi một CA gặp sự cố. Cloudflare từ trước đến nay đứng vững ở phía tiêu thụ. Theo chính lời công ty, họ chưa từng tự cấp một chứng chỉ được tin cậy công khai nào.

Điều đó sắp thay đổi, hoặc ít nhất Cloudflare nói rằng họ có ý định như vậy. Công ty đang công bố ý định trở thành tổ chức cấp chứng chỉ công khai. Thông báo thận trọng về hiện trạng, và bài viết này cũng nên như vậy. Cloudflare chưa cấp chứng chỉ. Mọi thứ về hành vi của dịch vụ, từ giao diện ACME đến quy tắc gia hạn và hỗ trợ Merkle Tree Certificates, đều là tuyên bố kế hoạch chứ không phải mô tả một hệ thống đang chạy.

Điều làm cho thông báo đáng tin không phải là tham vọng mà là phần chuẩn bị đã thấy rõ. Cloudflare đã nộp đơn để được đưa vào các chương trình gốc của Chrome, Apple, Microsoft và Mozilla. Công ty cho biết đang trải qua quy trình nộp đơn và phê duyệt với từng chương trình khóa gốc cốt lõi của web, và lưu ý rằng các quy trình này diễn ra công khai. Về nguyên tắc, bất kỳ ai cũng có thể theo dõi xem đơn có được chấp thuận hay không.

Vì sao Cloudflare có vị thế để đặt câu hỏi này #

Lập luận của Cloudflare cho việc xây dựng một CA bắt đầu từ vị thế khách hàng của họ. Công ty đứng trước hơn 20 phần trăm lưu lượng yêu cầu Internet toàn cầu. Họ kết thúc TLS cho hàng triệu tên miền và dựa vào hàng triệu chứng chỉ mỗi năm. Họ cung cấp các gói chứng chỉ qua Universal SSL cho khách hàng, đồng thời sử dụng chứng chỉ từ nhiều CA khác nhau để vận hành hệ thống và hoạt động nội bộ của chính mình.

Để giữ cho dịch vụ của khách hàng hoạt động, Cloudflare lấy các chứng chỉ đó qua nhiều CA, với đường chính và đường dự phòng để dịch vụ khách hàng vẫn chạy qua các sự cố CA và sự kiện thu hồi. Mạng lưới CA công khai đối tác mà công ty dựa vào trong nhiều năm gồm 16 tổ chức.

Cơ chế dự phòng đáng được xem xét kỹ hơn vì nó cho thấy cách Cloudflare nghĩ về sự cố. Mỗi chứng chỉ Universal SSL đã đi kèm một chứng chỉ dự phòng, được bọc bằng một khóa riêng và do một tổ chức khác cấp. Nếu chứng chỉ chính bị thu hồi hoặc bị xâm phạm, chứng chỉ dự phòng sẵn sàng được triển khai tự động. Đó là một biện pháp phòng ngừa trước việc bất kỳ CA đơn lẻ nào gặp trục trặc, được xây dựng từ phía khách hàng của mối quan hệ.

Biện pháp phòng ngừa đó cũng có giới hạn. Bạn chỉ có thể đa dạng hóa giữa các CA đang tồn tại, và nguồn tin cho rằng số CA đủ năng lực ít hơn vẻ bề ngoài.

Vấn đề tập trung #

Các con số đằng sau lập luận đó rất đáng chú ý. Let's Encrypt cấp khoảng mười triệu chứng chỉ mỗi ngày. Tổ chức này phục vụ hơn 500 triệu trang web và vượt mốc bốn tỷ chứng chỉ đang hoạt động vào năm 2025. Đó là số liệu của một CA miễn phí duy nhất, và chúng mô tả một web mà việc mã hóa dựa nặng vào một tổ chức.

Nguồn tin rút ra kết luận hiển nhiên, kèm một sự dè dặt hợp lý: nếu tổ chức cấp chứng chỉ miễn phí chiếm ưu thế gặp một tuần tồi tệ, phần lớn web sẽ không có lựa chọn thay thế miễn phí, tự động tương đương sẵn sàng gánh tải. Đây là một nhận định về tình huống giả định, và Cloudflare trình bày nó đúng như vậy. Công ty không khẳng định một tuần như thế đã xảy ra, hay sắp xảy ra.

Dù vậy, logic này dễ theo dõi. Một CA miễn phí, tự động chỉ là một phương án chống chịu nếu nó tồn tại trước khi khẩn cấp xảy ra. Đề xuất của Cloudflare là họ có thể cung cấp phương án thứ hai ở quy mô lớn. Tôi cho rằng đó là lý do thương mại và kỹ thuật mạnh nhất trong thông báo, và nó không phụ thuộc vào bất kỳ phần nào mang tính suy đoán hơn của kế hoạch. Một web chỉ có một CA miễn phí chiếm ưu thế và gần như không có gì khác là một web có một điểm lỗi duy nhất, bất kể chất lượng vận hành của CA đó ra sao.

Khía cạnh	CA tự động miễn phí truyền thống (Let's Encrypt)	CA công khai đề xuất của Cloudflare
Chiến lược neo tin cậy	ISRG Root X1 / X2 (gốc nội bộ thiết lập từ 2015)	Gốc GlobalSign được mua lại (tin cậy từ 2012) + gốc mới
Giao thức cấp phát	ACME tiêu chuẩn (RFC 8555)	ACME với yêu cầu bắt buộc ARI (RFC 9773)
Mô hình thu hồi	CRL / OCSP + thay thế hàng loạt khẩn cấp phía thuê bao	Đẩy sớm gia hạn có phối hợp qua các điểm cuối ARI
Lộ trình hậu lượng tử	Chữ ký X.509 lai đang được đánh giá	Merkle Tree Certificates (MTC) gốc cùng tồn tại với X.509 cổ điển
Quy mô và khối lượng ban đầu	~10 triệu chứng chỉ/ngày trên hơn 500 triệu trang	Xác nhận Khách hàng Số Không trên hơn 20% lưu lượng web toàn cầu

Mua một gốc thay vì chờ đợi #

Quyết định thực tế nhất trong thông báo liên quan đến gốc. Cloudflare cho biết đã ký thỏa thuận chính thức để mua lại một gốc lâu năm, được tin cậy rộng rãi từ GlobalSign. Nguồn tin nêu thẳng lý do: một gốc hoàn toàn mới không hữu ích rộng rãi trong nhiều năm. Ngược lại, gốc GlobalSign hiện có đã được tin cậy trên các trình duyệt, hệ điều hành và thiết bị từ năm 2012.

Niềm tin vào gốc đến chậm vì gốc được cài vào thiết bị, và thiết bị cập nhật chậm. Một gốc mới có thể được mọi chương trình chấp nhận nhưng vẫn không xác thực được trên một chiếc điện thoại cũ hay một hệ thống nhúng. Mua lại một gốc đã có mặt ngoài thực tế từ năm 2012 giúp tránh được khoảng chờ đó, ít nhất theo cách nguồn tin trình bày.

Cloudflare không hoàn toàn từ bỏ con đường gốc mới. Công ty cũng sẽ nộp một gốc mới để được đưa vào các chương trình khóa gốc, gốc mà họ mô tả là được xây dựng cho hướng đi của hệ sinh thái, bao gồm các chương trình đang bắt đầu giới hạn tuổi tối đa của một gốc được tin cậy. Chi tiết cuối này là lời nhắc hữu ích rằng tuổi tác có hai mặt. Tuổi của một gốc được tin cậy là tài sản cho độ phủ thiết bị, và một số chương trình đang tiến tới giới hạn tuổi của một gốc được tin cậy. Việc vận hành cả gốc mua lại lẫn một đơn nộp mới trông như một lời đáp cho sự giằng co đó, dù nguồn tin không giải thích lý lẽ theo cách diễn đạt này.

Dịch vụ ưu tiên ACME, kèm điều kiện #

Việc áp dụng là chỗ nhiều thông báo của CA trở nên mơ hồ. Cloudflare thì cụ thể. CA công khai của họ sẽ ưu tiên ACME, nghĩa là dùng giao thức Automated Certificate Management Environment mà tự động hóa hiện có đã sử dụng. Tuyên bố là bất kỳ ai đang trỏ tới một CA miễn phí hiện có đều có thể chuyển sang CA của Cloudflare bằng cách đổi một URL thư mục, không cần công cụ mới và không phải thiết kế lại gì. Đó là kế hoạch chứ không phải một lộ trình di chuyển đã được kiểm chứng, và nên được đọc như vậy. Nhưng một thay đổi cấu hình một dòng là mục tiêu đúng, vì chi phí di chuyển chính là thứ giữ mọi người ở lại với lựa chọn mặc định.

Điểm vướng là một yêu cầu mà phần lớn người dùng ACME chưa phải đáp ứng. Cloudflare sẽ chỉ cấp chứng chỉ cho các máy khách hỗ trợ ACME Renewal Information, hay ARI, được chuẩn hóa trong RFC 9773. Thuê bao phải duy trì tự động hóa thăm dò điểm cuối gia hạn của Cloudflare, hành động theo các khung thời gian gia hạn mà Cloudflare công bố, và xác định chứng chỉ mà nó đang thay thế.

Đây là một lập trường cứng rắn, và tôi cho đó là lập trường đúng. Nó cũng đặt ra một câu hỏi chính đáng về việc áp dụng: một CA chỉ phục vụ máy khách có khả năng ARI sẽ hẹp hơn một CA phục vụ bất kỳ ai có thư viện ACME. Nguồn tin không cho biết hiện nay điều đó loại trừ bao nhiêu máy khách, nên tôi sẽ không đoán. Điều nguồn tin có nói là vì sao Cloudflare muốn ràng buộc đó.

Thu hồi mà không làm hỏng trang web #

Cloudflare cho biết đã quan sát được nhiều điều trong 16 năm qua, và một quan sát định hướng thiết kế này. Công ty đã thấy các tổ chức cấp chứng chỉ bị kẹt giữa việc thu hồi kịp thời và giữ cho trang web của thuê bao trực tuyến.

Sự giằng co đó có thật với bất kỳ CA nào. Thu hồi nhanh một chứng chỉ bảo vệ công chúng, nhưng có thể đánh sập mọi trang web phụ thuộc vào chứng chỉ đó nếu thuê bao không thay thế kịp. Một CA bị kẹt ở giữa hoặc thu hồi muộn, hoặc làm hỏng khách hàng.

ARI là câu trả lời của Cloudflare. Khi chứng chỉ cần được loại bỏ, Cloudflare cho biết có thể đẩy sớm khung thời gian gia hạn của các chứng chỉ bị ảnh hưởng. Vì thuê bao bắt buộc phải thăm dò điểm cuối gia hạn và hành động theo các khung thời gian được công bố, CA có thể dẫn dắt họ sang thay thế trước khi một lần thu hồi cứng xảy ra. Cơ chế này được mô tả là một năng lực Cloudflare dự định có, chứ không phải năng lực họ đã chứng minh với tư cách một CA. Dù vậy, logic vẫn chặt chẽ: yêu cầu thăm dò tồn tại để đòn bẩy này hoạt động.

Cùng lối suy nghĩ đó thể hiện trong một mục tiêu thiết kế rộng hơn. Cloudflare dự định xây dựng một tổ chức cấp chứng chỉ mà độ tin cậy không chỉ dựa vào việc tránh sai sót, mà, như các sản phẩm khác của Cloudflare, còn dựa vào việc hỏng ở quy mô nhỏ và hạn chế tác động của bất kỳ sự cố đơn lẻ nào. Tránh sai sót là điều cần thiết với một CA, và không CA nào có thể hứa điều đó một cách hoàn hảo. Thiết kế sao cho một sai sót được khoanh vùng là lập trường kỹ thuật trung thực hơn.

Minh bạch vượt ra ngoài kiểm toán #

CA công khai thường được đánh giá qua kiểm toán. Nguồn tin nói thẳng về giới hạn của chúng: kiểm toán chỉ phản ánh một thời điểm và cho bạn biết một CA đã đạt. Chúng không cho biết CA đó làm gì vào một ngày thứ Ba bất kỳ sau đó.

Câu trả lời của Cloudflare là tuyên bố sẽ công bố các bản dựng có thể tái tạo của phần mềm ký chứng chỉ. Điều đó được trình bày như một cam kết, không phải một sản phẩm đã hoàn tất. Bản dựng có thể tái tạo cho phép người ngoài kiểm tra rằng tệp nhị phân chạy trong đường ký tương ứng với mã nguồn đã công bố, và đó là một thuộc tính liên tục theo cách mà một báo cáo kiểm toán không có. Liệu điều đó có đủ hay không sẽ phụ thuộc vào những gì Cloudflare thực sự công bố, và liệu người khác có kiểm tra hay không.

Nửa sau của thông báo: Merkle Tree Certificates #

Phần hậu lượng tử là chỗ thông báo nhìn xa nhất. Cloudflare công bố kế hoạch trở thành một trong những CA đầu tiên cung cấp chứng chỉ hậu lượng tử, và dự định cấp những Merkle Tree Certificates đầu tiên vào quý một năm 2027. Một đoạn khác của nguồn tin cho biết các MTC đầu tiên dự kiến vào đầu năm 2027. Cả hai đều là kế hoạch.

Nguồn tin mô tả MTC là một cách mới và gọn hơn nhiều để cung cấp chứng chỉ được tin cậy công khai. Cách diễn đạt đó là một mô tả, và nguồn tin không đưa ra số đo trong các đoạn tôi dựa vào, nên tôi không thể nói gọn hơn bao nhiêu. Cloudflare cho biết đã vận động cho đề xuất dựa trên tiêu chuẩn về MTC tại IETF. Công ty cũng cho biết đầu năm nay Chrome đã gọi MTC là lộ trình ưu tiên cho xác thực hậu lượng tử. Đó là một sự kiện đã diễn ra, và nó quan trọng, vì sự ưu tiên được tuyên bố của một nhà phát triển trình duyệt là thứ biến một đề xuất thành điều mà một CA có thể lập kế hoạch xoay quanh.

Cloudflare không kỳ vọng quá trình chuyển đổi diễn ra đột ngột. Công ty dự kiến phần lớn Internet sẽ tiếp tục dựa vào chứng chỉ cổ điển và WebPKI hiện có trong nhiều năm nữa. Trong suốt khoảng thời gian đó, họ dự kiến MTC sẽ chiếm tỷ trọng cấp phát tăng dần đều. Đó là những kỳ vọng, và nguồn tin gắn nhãn chúng như vậy.

Một CA, một vòng đời #

Lựa chọn kiến trúc theo sau là điều tôi thấy thuyết phục nhất. CA mới được thiết kế để mang cả chứng chỉ cổ điển lẫn Merkle Tree Certificates dưới một CA, với một vòng đời và một bộ bảo đảm. Khách hàng khi đó có thể áp dụng theo nhịp độ phù hợp và giúp web vượt qua bước chuyển mà không cần một lần chuyển đổi cứng.

Phương án thay thế là hai CA song song, hai bộ quy trình, và một cuộc di chuyển bắt buộc vào một lúc nào đó. Chuyển đổi cứng là cách rủi ro nhất để thay đổi một hệ sinh thái chứng chỉ, và mục tiêu được nêu của nguồn tin là tránh điều đó. Cách diễn đạt thận trọng, và đúng là nên như vậy: đây là ý định thiết kế cho một CA chưa cấp chứng chỉ.

Điều này cũng khớp với bức tranh động lực. Cloudflare cho biết dự kiến số chứng chỉ mà họ dựa vào hằng năm sẽ tiếp tục tăng khi thời hạn hiệu lực tối đa giảm, hoạt động của tác tử tăng và chứng chỉ hậu lượng tử trở nên phổ biến. Nhiều chứng chỉ hơn, được cấp thường xuyên hơn, ủng hộ tự động hóa và một CA coi gia hạn là thao tác hàng đầu. Một hệ thống xây dựng quanh ARI và một vòng đời là phản ứng hợp lý trước kỳ vọng đó, dù bản thân kỳ vọng là một dự báo chứ không phải một phép đo.

Khách hàng Số Không #

Làm sao kiểm thử một CA trước khi công chúng dựa vào nó? Câu trả lời của Cloudflare là trở thành khách hàng đầu tiên của chính mình. Công ty sẽ là Khách hàng Số Không cho CA mới và các chứng chỉ của nó, cả WebPKI lẫn MTC. Mục đích được nêu là bảo đảm mọi khía cạnh của hệ thống và quy trình mới đạt các tiêu chuẩn nội bộ cao của Cloudflare, và hạ tầng của CA được vận hành thử ở quy mô Cloudflare.

Với những con số nêu ở trên, đó là một tải nội bộ nặng: hàng triệu chứng chỉ mỗi năm, trong một công ty đứng trước hơn 20 phần trăm lưu lượng yêu cầu toàn cầu. Những năm vận hành đầu tiên có suôn sẻ hay không là điều các tuyên bố này không thể cho biết. Điều chúng cho thấy là một trình tự hợp lý. Công ty bắt đầu với tư cách người dùng lớn của chính thứ mình đang xây dựng, với kinh nghiệm cấp phát qua nhiều CA, các đường dự phòng và 16 CA đối tác phía sau.

Cần nói rõ những gì còn thiếu. Nguồn tin không báo cáo khối lượng cấp phát, tỷ lệ lỗi, độ trễ xác thực hay lịch sử sự cố của CA riêng của Cloudflare, vì chưa có lịch sử như vậy. Thông báo là một tuyên bố ý định được hậu thuẫn bởi các đơn nộp, một thỏa thuận mua lại và một thiết kế. Nó không phải là một thành tích đã được kiểm chứng.

Những điều cần theo dõi #

Ba điều sẽ quyết định đây là một bổ sung có ý nghĩa cho WebPKI hay chỉ là một thông báo thú vị.

Thứ nhất là các chương trình gốc. Cloudflare đã nộp đơn cho Chrome, Apple, Microsoft và Mozilla, và các quy trình diễn ra công khai. Theo dõi chúng là cách trực tiếp nhất để thấy kế hoạch đã đi được bao xa, và kết quả không phải là điều mà bất kỳ tuyên bố nào cho phép tôi dự đoán.

Thứ hai là yêu cầu ARI. Một CA khăng khăng đòi hỗ trợ RFC 9773 đang đặt cược rằng tự động hóa gia hạn có thể được thúc đẩy trên toàn bộ tập thuê bao. Nếu cược đúng, Cloudflare có khả năng đẩy sớm khung thời gian gia hạn khi chứng chỉ phải bị loại bỏ, đó là câu trả lời được nêu cho thế khó thu hồi mà công ty đã chứng kiến. Nếu sai, việc áp dụng sẽ chậm hơn những gì câu chuyện di chuyển một dòng ngụ ý.

Thứ ba là quý một năm 2027. Đó là lúc Cloudflare lên kế hoạch cho những Merkle Tree Certificates đầu tiên. Câu hỏi còn bỏ ngỏ là tỷ trọng tăng dần đều mà họ kỳ vọng sẽ thực sự tăng nhanh đến đâu, khi chính họ cho rằng phần lớn Internet sẽ ở lại với chứng chỉ cổ điển trong nhiều năm nữa. Công ty đã nói bước chuyển này không nên cần một lần chuyển đổi cứng. Quý một năm 2027 sẽ là cơ hội đầu tiên để xem liệu một CA mang cả hai loại chứng chỉ có thể biến điều đó thành hiện thực hay không.

Ý nghĩa theo từng lĩnh vực #

Sự xuất hiện của một tổ chức cấp chứng chỉ công khai tự động, khối lượng lớn từ một nhà cung cấp hạ tầng biên làm thay đổi rủi ro vận hành và việc lập kế hoạch PKI trong nhiều lĩnh vực kỹ thuật.

Hạ tầng đám mây và mạng biên #

Vận hành một CA công khai ở quy mô biên giảm sự phụ thuộc bên ngoài vào các API xác minh của bên thứ ba và CRL. Bằng cách kết hợp kết thúc kết nối reverse proxy tại biên với gia hạn ACME ARI tự động, các nhà cung cấp hạ tầng có thể che chắn khách hàng khỏi sự cố của các tổ chức cấp chứng chỉ thượng nguồn.

PKI doanh nghiệp và nhóm DevOps #

Các tổ chức dựa vào Let's Encrypt cho điểm cuối công khai có thêm một lựa chọn tự động đáng tin cậy. Tuy nhiên, việc bắt buộc áp dụng RFC 9773 (ARI) có nghĩa là các nhóm phải kiểm tra máy khách ACME của mình (Certbot, Lego, Caddy, Traefik) để bảo đảm hỗ trợ ARI đã được bật trước khi chuyển điểm cuối thư mục.

Nhà phát triển trình duyệt và quản trị gốc #

Các chương trình gốc (Chrome, Mozilla, Apple, Microsoft) đối mặt với một hệ sinh thái ngày càng mở rộng các CA tự động khối lượng lớn. Cách tiếp cận gốc hai hướng (mua lại một gốc cũ năm 2012 trong khi nộp một gốc hiện đại) đi giữa các chính sách trình duyệt ngày càng giới hạn vòng đời chứng chỉ gốc, đồng thời duy trì khả năng tương thích ngược cho thiết bị cũ.

Kết luận #

Bước đi của Cloudflare nhằm trở thành tổ chức cấp chứng chỉ công khai nhắm vào một điểm yếu cấu trúc thực sự của WebPKI hiện đại: sự tập trung cực độ trong việc cấp chứng chỉ miễn phí, tự động. Bằng cách kết hợp một gốc GlobalSign lâu năm, tự động hóa gia hạn ARI nghiêm ngặt và một cầu nối hướng tới Merkle Tree Certificates hậu lượng tử, thiết kế này giải quyết khả năng chống chịu vận hành chứ không chỉ việc cung cấp chứng chỉ. Thành công sẽ được quyết định bởi sự phê duyệt của các chương trình gốc và tốc độ các công cụ máy khách áp dụng chuẩn ARI trước đợt triển khai năm 2027.

Câu hỏi thường gặp #

Hôm nay tôi có thể chuyển máy khách ACME sang CA của Cloudflare không?

Chưa. Cloudflare đã công bố ý định, ký thỏa thuận mua lại gốc và nộp đơn cho các chương trình gốc lớn. Việc cấp phát công khai được lên kế hoạch triển khai sau khi các chương trình gốc phê duyệt.

ACME Renewal Information (ARI) là gì và vì sao quan trọng?

ARI (RFC 9773) là một phần mở rộng của giao thức ACME cho phép tổ chức cấp chứng chỉ thông báo cho thuê bao khi nào một chứng chỉ nên được gia hạn. Điều này cho phép CA phối hợp nhẹ nhàng việc gia hạn sớm trước các đợt thu hồi đã lên kế hoạch, ngăn ngừa sự cố gián đoạn trang web.

Merkle Tree Certificates (MTC) khác chứng chỉ X.509 tiêu chuẩn như thế nào?

MTC thay thế các chữ ký mật mã riêng lẻ truyền thống bằng bằng chứng bao hàm Merkle được neo vào một nhật ký có thể kiểm chứng công khai. Điều này giảm đáng kể kích thước chứng chỉ và chi phí truyền tải, khiến chúng trở thành ứng viên được ưu tiên cho xác thực TLS hậu lượng tử.

Tài liệu tham khảo #

Cloudflare, (2026). Xây dựng một tổ chức cấp chứng chỉ cho toàn bộ Internet ⧉. Cloudflare Blog.
IETF, (2024). RFC 9773: Thông tin gia hạn của Automated Certificate Management Environment (ACME) (ARI) ⧉. IETF.
IETF, (2025). Merkle Tree Certificates cho TLS ⧉. IETF.
Chrome Root Program, (2026). Chính sách và cân nhắc về xác thực hậu lượng tử ⧉. Chromium Projects.

Cập nhật lần cuối 2026-09-20.

Cập nhật lần cuối 2026-10-27.

Đăng lại bài này

Cloudflare muốn tự cấp chứng chỉ vì sự tập trung của CA miễn phí — Sebastien Rousseau

Cloudflare công bố ý định trở thành tổ chức cấp chứng chỉ công khai: nộp đơn vào các chương trình gốc lớn và mua một gốc GlobalSign để giảm sự tập trung CA.

Bài viết này được cấp phép theo Creative Commons Attribution 4.0 International. Đăng lại yêu cầu ghi nguồn đến URL chính tắc.

Cloudflare muốn tự cấp chứng chỉ vì sự tập trung của CA miễn phí — Sebastien Rousseau

Cloudflare công bố ý định trở thành tổ chức cấp chứng chỉ công khai: nộp đơn vào các chương trình gốc lớn và mua một gốc GlobalSign để giảm sự tập trung CA.

Originally published at https://sebastienrousseau.com/vi/2026-09-20-cloudflare-muon-cap-chung-chi/ by Sebastien Rousseau.
Licensed under CC-BY-4.0.

SEBASTIEN ROUSSEAU FOUNDER · ENGINEER