Кореневі сертифікати DigiCert G5 TLS root

З 12 листопада 2026 року, у проміжку між 18:00 та 20:00 UTC, публічно довірені TLS-сертифікати всіх брендів у Digicert. Geotrust, Thawte, Rapid за замовчуванням видаватимуться з наших нових кореневих ієрархій DigiCert G5 TLS. 
Цю зміну було перенесено з початкової дати (15 жовтня 2026 року), щоб забезпечити якомога плавніший перехід для наших клієнтів.

Кореневі ієрархії, які видаватимуться за замовчуванням починаючи з 12 листопада 2026 року:
-DigiCert TLS RSA4096 Root G5
-DigiCert TLS ECC P384 Root G5

Будь ласка, зверніть увагу: поточні кореневі ієрархії за замовчуванням DigiCert Global G2 та G3 залишатимуться доступними для звичайної видачі за запитом до 8 червня 2027 року.

Для більшості клієнтів жодних дій не потрібно, якщо ви завжди встановлюєте проміжний CA-сертифікат (ICA), наданий DigiCert, разом зі своїм TLS-сертифікатом:

Сертифікати, видані після 12 листопада, автоматично будуть підв'язані в ланцюжку до відповідної кореневої ієрархії G5, якщо під час замовлення не було вказано конкретну ієрархію.
Сертифікати, видані до 12 листопада, не зазнають впливу й залишатимуться дійсними та підв'язаними до своєї початкової кореневої ієрархії до закінчення терміну їхньої дії.

Для використання данцюжка G2 або G3 після 12 листопада повідомте при замовленні чи перевиданні сертифікату

Етапи скорочення термінів валідації домена

Форум CA/Browser (Ballot SC081v3) ухвалив поступове зменшення часу, протягом якого можна повторно використовувати вже виконану перевірку домену без її повторного проходження:

• До 15 березня 2026 року: до 397–398 днів.

• 2026–2027 роки: до 199–200 днів.

• 2027–2029 роки: до 99–100 днів.

• Після 15 березня 2029 року: до 9 днів (для DigiCert) та 10 днів (загальний стандарт CA/Browser Forum).

Нові кореневі сертифікати G5

Починаючи з 15 жовтня 2026 року, DigiCert офіційно переводить випуск усіх нових, оновлених та перевипущених публічних TLS/SSL-сертифікатів на нові кореневі ієрархії G5 за замовчуванням.

Нові корені за замовчуванням: Сертифікати (DV, OV, EV) брендів DigiCert, GeoTrust, Thawte, RapidSSL та Encryption Everywhere будуть автоматично будувати ланцюжок до нових кореневих сертифікатів:
DigiCert TLS RSA4096 Root G5
DigiCert TLS ECC P384 Root G5

Що потрібно зробити:

Для більшості користувачів: Дії не потрібні, якщо ви завжди інсталюєте повний ланцюжок сертифікатів (Certificate Chain), який надає DigiCert

Для систем із критичними залежностями: Якщо ваші клієнти або інфраструктура поки що покладаються на старі кореневі ієрархії (DigiCert Global Root G2 або G3), ви можете тимчасово залишитися на них. Для цього потрібно ввімкнути функцію вибору проміжного

сертифікату (ICA selection) у DigiCert CertCentral або явно вказати параметр ca_cert_id через API.

Перевірка клієнтів: Переконайтеся, що ваші довірені сховища (truststores) на серверному та клієнтському обладнанні містять нові кореневі сертифікати G5

Перехід на нові кореневі сертифікати та ротація проміжних сертифікатів

Зміна №1: Перехід на нові кореневі сертифікати (15 жовтня 2026 р.)

Починаючи з 15 жовтня 2026 року, усі нові публічні TLS-сертифікати (DV, OV та EV) для вебсайтів за замовчуванням будуть випускатися за ланцюжком, який веде до одного з двох нових коренів 5-го покоління (G5): 

• DigiCert TLS RSA4096 Root G5
• DigiCert TLS ECC P384 Root G5

Чому це роблять?

Google Chrome змінює правила своєї програми безпеки (Root Store) і вимагає від центрів сертифікації залишати вбудованими лише два активні TLS-корені. DigiCert оптимізує свою структуру під ці вимоги.

Зміна №2: Щорічна ротація проміжних сертифікатів (з 15 жовтня 2027 р.)

Щоб підготувати інфраструктуру до майбутніх вимог щодо скорочення терміну дії сертифікатів, з осені 2027 року DigiCert почне планову щорічну заміну своїх проміжних сертифікатів (ICA).

Що робити

Якщо у вас звичайні вебсайти (Apache, Nginx, IIS тощо) нічого робити не потрібно. Сертифікати, випущені до 15 жовтня 2026 року, продовжуватимуть працювати до закінчення свого терміну дії. 
Нові сертифікати після цієї дати отримають новий ланцюжок автоматично. Оскільки нові корені G5 мають перехресний підпис (cross-signed) від старого перевіреного кореня DigiCert Global G2, сумісність із застарілими пристроями та браузерами збережеться.

Якщо ви використовуєте "Certificate Pinning" (жорстке прописування сертифікатів у коді) - терміново відмовтеся від цієї практики до жовтня 2026 року.

Якщо ваш мобільний додаток або API жорстко перевіряє конкретний сертифікат, відбиток (fingerprint) чи проміжний CA DigiCert, після планового оновлення сертифіката додаток просто перестане підключатися до сервера. DigiCert наполегливо радить прибрати pinning, оскільки сертифікати тепер змінюватимуться частіше.

Якщо у вас є специфічне ПЗ, IoT-пристрої або non-browser клієнти (наприклад, mTLS) - перевірте, чи довіряють ваші нестандартні клієнти (які не оновлюють сховище сертифікатів через ОС чи браузер) новим кореням G5.  
Для таких закритих систем DigiCert рекомендує розглянути перехід на приватні сертифікати (Private CA) або інші типи сертифікатів, які не залежать від публічних браузерних вимог.

Для 95% адміністрованих сайтів цей перехід пройде непомітно і в автоматичному режимі. Головне завдання для ІТ-спеціалістів зараз — перевірити, чи немає десь у мобільних додатках чи внутрішніх сервісах "зашитих" вручну старих сертифікатів DigiCert (certificate pinning), та вчасно їх прибрати.

Видалення кореневого каталогу Google Chrome: Trusted Root G4, Assured ID G2 та Assured ID G3

Видалення кореневого каталогу Google Chrome: Trusted Root G4, Assured ID G2 та Assured ID G3

Кінцевий термін: 1 липня 2026 р.

1 липня 2026 р. Google Chrome видалить такі кореневі каталоги зі свого сховища довірених каталогів:

DigiCert Assured ID G2

DigiCert Assured ID G3

DigiCert Trusted Root G4

Якщо ви використовуєте сертифікати TLS, видані з цих кореневих ієрархій, і вам потрібна довіра Google Chrome, можливо, доведеться вжити заходів до 1 липня 2026 р.

Сертифікати TLS, видані з цих кореневих ієрархій до 1 липня 2026 р., залишаються довіреними до закінчення терміну їх дії. Сертифікати підпису коду, видані з цих кореневих ієрархій, не залежать від цього, оскільки вони не залежать від довіри браузера.

Програма Google Chrome Root вимагає від центрів сертифікації (CA) використовувати виділені кореневі ієрархії TLS для видачі публічних сертифікатів TLS. Ці три кореневі каталоги видаляються зі сховища довірених каталогів Google Chrome, оскільки вони не є виділеними кореневими каталогами TLS.

Окрім проміжних сертифікатів TLS CA (ICA), ці кореневі центри також видали сертифікати ICA для підпису коду та позначення часу.

Термін дії SSL сертифікатів

Форум CA/Browser офіційно проголосував за внесення змін до Базових вимог TLS, щоб встановити графік скорочення як терміну дії сертифікатів TLS, так і можливості повторного використання інформації, перевіреної CA, у сертифікатах. Перший вплив голосування на користувачів відбудеться у березні 2026 року. Голосування довго обговорювалося на Форумі CA/Browser і пройшло кілька версій, враховуючи відгуки від центрів сертифікації та їхніх клієнтів. Період голосування завершився 11 квітня 2025 року, закривши один гаряче спірний розділ і дозволивши світу сертифікатів планувати те, що буде далі.

Новий графік терміну дії сертифіката TLS - Нове голосування передбачає термін дії сертифіката 47 днів, що робить автоматизацію необхідною. До цієї пропозиції Apple Google просував максимальний термін дії 90 днів, але вони проголосували за пропозицію Apple майже одразу після початку періоду голосування.

Ось графік:

Подробнее...

Microsoft і CodeSIgning сертифікати, що відомо

Нещодавно Microsoft Defender неправильно позначив певні кореневі сертифікати DigiCert як шкідливі («Trojan:Win32/Cerdigent.A!dha»). Це сталося в результаті оновлення системи безпеки Microsoft, яке призвело до хибнопозитивних результатів.

Компанія Microsoft підтвердила, що це була помилка в їхній логіці виявлення, а не компрометація сертифікатів DigiCert. Оновлений підпис Defender вже випущено для вирішення цієї проблеми.

Наразі:

Сертифікати DigiCert залишаються безпечними та надійними.

Жодних дій, окрім забезпечення повного оновлення Microsoft Defender, не потрібно.

Будь-які сертифікати, неправильно видалені Defender, мають бути автоматично відновлені після оновлення.

В окремому випадку в квітні 2026 року обмежена кількість сертифікатів підпису коду була видана неправильно та швидко відкликана. Немає жодних доказів ширшого впливу на сертифікати клієнтів, облікові записи, дані чи системи DigiCert. З усіма клієнтами, на яких це вплинуло, було безпосередньо зв’язано в рамках завершеного процесу відкликання. Якщо з вами не зв’язалися, ваша організація не постраждала, і жодних подальших дій не потрібно.

DigiCert додає нові виділені адреси IPv4 та призначає нові виділені адреси IPv6

10 березня 2026 року о 10:00 MDT (16:00 UTC) DigiCert додасть нові адреси IPv4 та призначить виділені адреси IPv6 до  протоколу стану онлайн-сертифікатів (OCSP), списку відкликаних сертифікатів (CRL) та кількох інших сервісів DigiCert.

Якщо ваша компанія використовує списки дозволених адрес для контролю вихідного трафіку, оновіть свій список дозволених адрес вихідного трафіку на ваших брандмауерах, групах безпеки або проксі-серверах, щоб включити нові адреси IPv4 та IPv6, наведені нижче, до 10 березня 2026 року. Ви повинні зробити це, щоб ваші сервіси DigiCert працювали так, як вони працювали до додавання нових адрес IPv4 та IPv6.

Видалення EKU clientAuth з сертифікатів відкладено до 1 березня 2027р

Гарні новини для тих, кому потрібні сертифікати, що підтримують автентифікацію клієнтів: DigiCert продовжує дату припинення підтримки розширеного використання ключа (EKU) для автентифікації клієнтів (clientAuth) у наших публічних сертифікатах SSL/TLS.

Видалення EKU clientAuth з сертифікатів відкладено до 1 березня 2027 року (раніше це було 1 травня 2026 року).

Це оновлення відповідає нещодавно оновленій кореневій політиці Google Chrome, яка передбачила цю зміну для покращення безпеки та відповідності.

Якщо ви покладаєтеся на автентифікацію клієнтів, у вас є 12 місяців на перехід, перш ніж цю можливість буде видалено з публічного TLS.

Нижче наведено два рішення DigiCert, які можуть задовольнити потреби ваших клієнтів в автентифікації після 1 березня 2027 року.

Примітка: Ця зміна впливає на всі публічні сертифікати TLS DigiCert: DV, OV, EV, EU Qualified Website Authentication Certificate (QWAC) та EU QWAC PSD2, а також на всі бренди DigiCert: DigiCert ®, GeoTrust ®, Thawte ®, RapidSSL ® та Encryption Everywhere ®.

Рішення для автентифікації клієнтів після 1 березня 2027 року

DigiCert пропонує два основні рішення для наших клієнтів та партнерів, яким потрібен EKU для автентифікації клієнтів після 1 березня 2027 року:

• PKI X9 від DigiCert для сертифікатів TLS – захищає зв’язок, що включає кілька організацій (mTLS, VPN-доступ тощо).
• Приватна PKI як послуга – захищає бізнес-операції, які є суто внутрішніми.

SSL-сертифікати Trustwave мають бути замінені до 27 лютого 2026 року

Компанія Trustwave (що працює під брендом VikingCloud) оголосила про припинення випуску публічних SSL/TLS сертифікатів.

• Дедлайн: Усі чинні сертифікати Trustwave відкликаються сьогодні, 27 лютого 2026 року.

• Наслідки: Будь-який вебсайт або сервіс, що все ще використовує сертифікат від Trustwave після сьогоднішнього дня, буде видавати помилку «Підключення не захищене» або «Сертифікат не є довіреним» у браузерах користувачів.