Cloudflare станет публичным центром сертификации

Организация Cloudflare заявила, что станет публичным центром сертификации и начнёт самостоятельно выпускать бесплатные TLS‑сертификаты для сайтов.

Ещё 12 лет назад компания запустила инициативу Universal SSL, в рамках которой шифрование трафика сделали общедоступным и бесплатным для миллионов ресурсов. При этом Cloudflare никогда не генерировала сертификаты от собственного имени. Теперь же она планирует стать независимым эмитентом.

Cloudflare подала заявки на включение собственных корневых ключей в официальные программы доверия Chrome, Apple, Microsoft и Mozilla. Так, организация равным образом заключила соглашение о покупке признанного корневого сертификата у GlobalSign, который поддерживается глобальной экосистемой ещё с 2012 года.

Как отметили в компании, что современный зашифрованный сетевой подвержен системным рискам из‑за высокой концентрации эмитентов. За основную часть автоматизированной выдачи отвечает некоммерческий сервис Let's Encrypt, который выпускает приблизительно 10 млн сертификатов в сутки и занимающий почти 40% рынка. 

Управление и версия сертификатов будут построены на открытом протоколе ACME с обязательным требованием поддержки стандарта ACME Renewal Information (RFC 9773). Такая модель позволит серверам заранее узнавать об окнах продления и бесшовно обновлять ключи без риска простоя. 

«Мы обеспечим прозрачность наших систем выпуска сертификатов и операционных процессов: будем публиковать воспроизводимые сборки программного обеспечения для подписи сертификатов, подтверждать характеристики аппаратных модулей безопасности (HSM), хранящих наши ключи, а также вести публичную панель мониторинга состояния системы выпуска и инцидентов. Аудиты фиксируют состояние системы лишь в конкретный момент времени и подтверждают лишь факт прохождения проверки, но не показывают, как центр сертификации работает в обычный будний день. Мы хотим, чтобы участники программ доверия корневым сертификатам (root programs), исследователи и обычные владельцы сайтов могли наблюдать за реальной работой современного центра сертификации в периоды между аудитами», — отметили в компании.

В первом квартале 2027 года Cloudflare намерена запустить выдачу постквантовых сертификатов Merkle Tree Certificates (MTC), устойчивых к вычислениям на квантовых компьютерах.

Пока служба проходит согласование в ключевых корневых программах доверия.

Ещё в 2025 году участники CA/Browser Forum проголосовали за значительное сокращение срока действия сертификатов SSL/TLS в течение следующих четырёх лет. В 2029 году он будет составлять всего в 47 дней вместо нынешних 398.