中国权威CA有哪些？国内CA机构、国际信任与国密CA区别

中国权威CA有哪些？

中国权威 CA（Certificate Authority，数字证书认证机构）并不是一个单独的官方分类。

判断一家 CA 是否适合某个项目，需要分别看三个方面：是否具备相应的电子认证服务资质、其签发的公网 TLS 证书是否获得目标操作系统和浏览器信任，以及是否能够提供符合项目要求的国密密码应用方案。国内的 CFCA、SHECA、BJCA、GDCA 等机构在电子认证、政务、金融、企业身份认证等领域具有较深的业务积累，但不同机构的根证书覆盖范围、证书产品和国密能力并不完全相同。

因此，选择 CA 时不能只看“是否是国内 CA”，还要结合公网 HTTPS、企业身份认证、国密 TLS、政务系统等具体应用场景判断。

中国的CA机构主要分为哪些类型？

从实际使用场景来看，国内 CA 可以从业务方向上理解为几类：

• ​面向公网 TLS 与企业数字证书场景​：用户申请 SSL/TLS 证书后，浏览器通过操作系统或自身维护的信任库验证 CA 根证书，从而判断网站证书是否可信。
• ​电子认证服务机构​：长期服务于政务、金融、医疗、企业身份认证等领域。这些机构除了数字证书，还可能提供电子签名、身份认证、电子印章等服务。
• ​商用密码应用认证服务机构​：提供基于 SM2 等国密算法体系的数字证书，并根据项目需要配合国密 TLS、密码设备等基础设施。

这几个类别之间存在交集。同一家机构可能同时提供公网 TLS 证书、企业数字证书和国密证书，但具体产品的信任范围和使用条件并不一样。

国内有哪些比较有代表性的CA机构？

国内电子认证行业经过多年发展，形成了一批具有较强行业影响力的认证服务机构：

• ​中国金融认证中心（CFCA）​：长期服务于金融及相关电子认证场景，在银行、金融机构、企业身份认证等领域具有较高知名度。CFCA 的业务涉及数字证书、电子签名和身份认证等相关服务，在涉及国密算法的项目中，也需要根据具体产品确认其 SM2 等国密证书及相关密码应用能力。
• ​上海市数字证书认证中心（SHECA）​：国内较早开展电子认证服务的机构之一，在政务、企业和电子认证等场景具有较多应用。其业务覆盖数字证书、电子签名以及相关安全认证服务，也提供国密相关解决方案。
• ​北京数字认证（BJCA）​：长期服务于政务、医疗、企业以及其他行业客户，在电子认证和数字身份领域具有较高的行业覆盖度。其业务不仅包括数字证书，也涉及电子签名、电子印章、身份认证等相关产品。
• ​广东省数字证书认证中心（GDCA）​：主要服务于广东及华南地区，在政务、企业和电子认证等场景具有较广泛的应用。其业务同样涉及数字证书、电子签名和相关身份认证服务。

国内还有多家区域性和行业型电子认证服务机构。它们在政务、金融、医疗、企业身份认证以及商用密码等不同领域形成了各自的业务优势。因此，评价一家 CA 时，不宜只看机构规模或者地区影响力，还需要具体查看目标证书产品、根证书信任范围以及项目所需要的密码能力。

“国内CA”与“国际浏览器信任CA”有什么区别？

这是选择 SSL 证书时非常容易混淆的一个问题。一家机构具备国内电子认证服务相关资质，并不意味着它签发的每一个根证书都会被 Windows、macOS、Android、iOS、Chrome、Firefox 等所有平台默认信任。

公网 SSL/TLS 证书是否能够被浏览器直接信任，取决于对应根证书是否进入目标平台的信任体系，以及证书链是否正确：

Plaintext

CA机构具备国内相关资质 ➔ 电子认证业务合规 ➔ 签发数字证书
  │
  ▼
目标操作系统/浏览器是否信任对应根证书？ ➔ 决定公网HTTPS客户端的默认信任情况

因此，企业购买公网 SSL 证书时，不能只问“这是不是中国 CA”，还应该确认：

• 根证书是否获得目标客户端信任；
• 证书链是否完整；
• 是否符合当前浏览器和操作系统的信任要求；
• 是否适用于公网 Web；
• 是否满足企业身份验证或行业要求。

如果主要目的是公网网站 HTTPS，还应结合 SSL证书类型 和 SSL证书选购指南 选择具体产品。

国密CA与普通公网SSL证书有什么区别？

国密 CA 主要面向采用我国商用密码算法体系的应用环境。普通公网 TLS 证书的密码体系通常围绕国际通用的 PKI 和 TLS 标准构建；国密证书则会涉及 SM2、SM3、SM4 等商用密码算法。

两者并不是简单的“谁更安全”的关系，而是应用标准和密码体系不同：

【普通公网HTTPS】CA ➔ RSA / ECC 等算法 ➔ 标准TLS ➔ 公网浏览器与服务器
【国密TLS通信】  国密CA ➔ SM2 / SM3 / SM4 算法 ➔ 国密TLS ➔ 国密客户端与服务器

国密证书是否适合公网网站，还需要考虑客户端兼容性。特别是在同时存在普通浏览器和国密客户端的场景中，可能需要采用双证书、双算法或者国密网关等架构，而不是简单地把普通公网证书替换成国密证书。如果项目涉及 HTTP 向 HTTPS 升级。

等保三级是不是必须使用国密CA？

不能直接这样判断。

等保三级属于网络安全等级保护体系，关注的是整个信息系统的安全保护能力；国密 CA 则属于密码应用体系中的具体技术组成。

一个系统被定级为三级，并不能直接推出必须使用国密 SSL 证书。如果项目还涉及商用密码应用要求，则需要进一步分析系统使用的密码算法、密码产品、密钥管理以及通信保护方式，再判断是否需要国密证书和相关密码基础设施。这也是为什么在等保和密评项目中，不能简单采用“三级系统 = 国密 SSL”的判断方式。

国密SSL证书适合哪些场景？

国密 SSL 更适合已经明确采用国密密码技术体系的业务环境，例如：

• 政务和政务云相关系统；
• 金融及其他对密码应用有明确要求的系统；
• 存在商用密码应用要求的业务平台；
• 需要使用国密算法进行通信保护的内部系统；
• 国密客户端与国密服务器之间的 HTTPS/TLS 通信。

具体项目还需要考虑客户端环境。如果所有访问者都是普通 Chrome、Safari、Firefox 等公网客户端，那么首先需要确认国密证书对应的根证书和 TLS 协议是否能够获得这些客户端的默认信任。如果项目同时要求普通公网访问和国密客户端访问，则需要从整体架构设计双证书或者其他兼容方案。

如何判断一家CA是否适合自己的项目？

选择 CA 时，可以按照实际应用场景逐项判断：

• ​公网网站，主要关注浏览器和操作系统信任情况、证书类型、域名覆盖范围、证书有效期、证书链完整性，以及自动续期与部署能力。
• ​企业官网或业务平台*，除了公网信任，还需要根据企业身份认证要求判断是否使用 OV 等组织验证型证书。
• ​政务或行业合合规项目，需要进一步确认项目适用的监管要求、是否存在商用密码应用要求、是否需要国密算法及国密 TLS、是否需要密码设备或国密网关，以及是否需要开展密评。
• ​多服务器和云平台，还需要关注证书是否支持实际部署架构，以及证书如何在负载均衡、CDN、WAF、Kubernetes 等环境中统一管理。

证书部署过程中遇到链条、格式等问题，可以使用 SSL证书工具 进行检查和处理。

如何查询CA机构的资质？

如果需要核实一家国内电子认证机构的资质，建议优先通过国家主管部门的公开信息查询，而不是只参考厂商宣传页面。

需要注意的是，不同资质对应不同业务范围，例如：

• 电子认证服务相关许可；
• 商用密码相关资质；
• 电子政务电子认证相关资格；
• 密码检测认证相关资质。

这些并不是同一个概念。因此，查询时应该先明确自己要核实的是哪一种资质，再到对应主管部门公布的官方信息中确认。对于公网 SSL 证书，还应该单独检查具体根证书的客户端信任情况，这是判断公网证书能否被浏览器直接信任的重要依据。

常见问题 FAQ

Q：中国有哪些权威CA？

A：中国有多家具有行业影响力的电子认证服务机构，例如 CFCA、SHECA、BJCA、GDCA 等。不同机构的业务范围、证书产品和应用领域有所区别，不能单纯根据机构名称判断某张 SSL 证书是否适合公网使用。

Q：国内CA签发的SSL证书浏览器都能信任吗？

A：不能一概而论。公网 SSL 证书是否被浏览器直接信任，取决于对应根证书是否进入目标操作系统或浏览器的信任体系。购买证书时应确认具体产品的根证书和客户端兼容情况。

Q：国密CA和普通SSL证书CA有什么区别？

A：两者主要区别在于密码体系和应用环境。普通公网 SSL/TLS 证书主要面向国际通用 TLS 和公网客户端，国密证书则面向采用 SM2、SM3、SM4 等商用密码技术的应用环境。两者并不是简单的高低等级关系。

Q：等保三级必须购买国密SSL证书吗？

A：不是。等保三级与国密 SSL 属于不同层面的要求。是否使用国密证书，需要结合系统属性、行业监管要求和商用密码应用要求具体判断。

中国 CA 的“权威性”不能只用一个标准衡量。电子认证服务资质解决的是机构能否依法开展相应业务，根证书信任解决的是公网客户端能否直接验证证书，而国密能力则关系到采用商用密码体系的项目能否满足具体密码应用要求。做选型决策时，建议把这三个维度明确拆开，先确定系统定级和适用的合规要求，再确定通信架构、TLS 方案和证书类型，避免把“国内 CA”“公网信任 CA”和“国密 CA”写成同一个概念。