尊敬的用户，您好！

根据 Google Chrome 浏览器根证书政策4.2.2章节的最新要求,各个CA机构将逐步停止在 SSL/TLS 证书中包含“客户端身份验证(OID:1.3.6.1.5.5.7.3.2)”的扩展密钥用途（EKU）标识。此变更有助于提升安全性，遵循最小权限原则。

Google原文地址：https://googlechrome.github.io/chromerootprogram/

什么是扩展密钥用途（EKU）？

扩展密钥用法 （EKU）是证书扩展，定义数字证书中公钥的预期功能。它建立了一组结构化的允许应用程序，确保密钥仅用于特定的加密操作。此功能受以下条款管辖：对象标识符（OID）— 对每种允许的用途进行分类的唯一数字标识符，例如代码签名、服务器身份验证、客户端身份验证或安全电子邮件。当身份验证基于证书时，验证实体会审查证书以识别 EKU 内的对象标识符 (OID)。通过添加EKU扩展，证书颁发机构（CA）将证书的范围限制为预定义的角色，每个指定的目的明确映射到一个 OID。

例如：

n TLS Web 服务器身份验证，表示该证书可用于验证服务器（例如 HTTPS 网站）。服务器身份验证对应的 OID 是1.3.6.1.5.5.7.3.1

n TLS Web 客户端身份验证，表示客户端可以使用该证书向服务器进行身份验证（例如，用于相互验证的客户端证书）。分配给客户端身份验证的 OID 是1.3.6.1.5.5.7.3.2

针对该策略变化，SHECA、DigiCert、GlobalSign的计划如下：

1. SHECA

2025年10月10日起：SHECA的中级根和订户证书证书都会仅包含“服务器身份验证 (OID.1.3.6.1.5.5.7.3.1)”的扩展密钥用途（EKU）标识，不再包含“客户端身份验证(OID:1.3.6.1.5.5.7.3.2)”的扩展密钥用途（EKU）标识。

2. DigiCert

2025年10月1日起：DigiCert 将默认停止在SSL/TLS 证书中包含客户端身份验证EKU，若有需要，可在下单申请证书时额外声明需要添加该EKU。

2026年5月1日起：DigiCert 将在 SSL/TLS 证书的颁发流程中（包括续订、重颁发、重签发）完全移除客户端身份验证 EKU。

DigiCert 官方通知详见：https://knowledge.digicert.com/alerts/sunsetting-client-authentication-eku-from-digicert-public-tls-certificates

3. GlobalSign

2026年8月前：GlobalSign 将继续签发包含客户端身份验证 EKU 的 SSL/TLS 证书。

GlobalSign 官方通知详见：https://www.globalsign.cn/company/news-events_detailed/395

对SSL/TLS证书使用的影响

绝大多数SSL/TLS证书使用场景中，这一变化不会影响使用。 只有以下情况中会造成影响：

将SSL/TLS证书作为客户端身份认证证书：在一些金融行业或安全性较高的业务场景中，不少企业将对端SSL/TLS证书作为其服务器的客户端身份认证证书进行安全准入认证。当未来证书移除客户端身份认证EKU标识后，SSL/TLS证书将无法再被用来完成认证。

API 客户端、物联网设备等的证书：服务端或者智能网关需要通过带有客户端身份认证clientAuth EKU标识的证书，完成对设备的身份认证。

若您有任何问题或疑虑，可联系您的客户经理获取帮助。

感谢您的理解与支持，我们将持续为您提供专业的服务！

上海市数字证书认证中心有限公司

                                                                                                                                                                              2025 年09 月12 日