Cloudflare става безплатен издател на HTTPS сертификати

Cloudflare обяви, че става публичен издател на TLS сертификати (certificate authority, CA) и ще дава безплатни, автоматично подновявани HTTPS сертификати на всеки домейн в интернет — пряк конкурент на Let’s Encrypt. Обявлението е от 29 септември 2026 г., по време на традиционната Birthday Week на компанията, и е описано в официалния блог на Cloudflare. Засега не се издава нито един сертификат: компанията е в началото на одобрителния процес.

Какво точно е направено досега

Три конкретни стъпки:

• Подадени са заявления за включване в root програмите на Chrome, Apple, Microsoft и Mozilla. Без тях сертификатите на Cloudflare просто няма да се признават от браузърите и операционните системи.
• Подписано е окончателно споразумение за придобиване на широко доверен root сертификат от GlobalSign, който се разпознава от устройства още от 2012 г. Това решава най-досадния проблем на всеки нов CA — старите телефони, телевизори и вградени системи, които не получават обновления на списъка си с доверени издатели.
• Подготвят се и нови root сертификати за модерните системи.

Като оператор на един от най-големите CDN-и Cloudflare отдавна издава сертификати, но досега чрез партньорски CA. Сега иска да е самият издател.

Защо е нужен втори голям безплатен CA

Аргументът на компанията е устойчивост, не конкуренция. Let’s Encrypt издава около 10 милиона сертификата дневно и обслужва над 500 милиона сайта. Ако този единствен безплатен автоматизиран издател има лоша седмица — технически проблем, правен натиск или спиране на финансиране — няма втора инфраструктура със сравним капацитет, която да поеме товара.

Проблемът става все по-остър, защото индустрията рязко съкращава живота на сертификатите. По решение на CA/Browser Forum максималният срок на валидност пада на 200 дни от 15 март 2026 г., на 100 дни от 15 март 2027 г. и на 47 дни от 15 март 2029 г. Колкото по-кратък е животът на сертификата, толкова по-често всеки сайт зависи от издателя си — ръчното подновяване вече не е опция.

ACME на първо място

Cloudflare описва новия CA като „ACME-first“. ACME е отвореният протокол, с който certbot, Caddy, Traefik и десетки други инструменти вземат и подновяват сертификати автоматично. Практическото обещание е, че преминаването от друг безплатен издател ще изисква само смяна на адреса на директорията:

certbot certonly --server https://acme.cloudflare.example/directory \
  -d example.com -d www.example.com

Без нов инструментариум и без промяна в архитектурата. Планирани са и:

• задължително автоматично подновяване чрез ACME Renewal Information (RFC 9773);
• reproducible builds на софтуера, който подписва сертификатите;
• атестации от хардуерните модули за сигурност (HSM);
• публичен dashboard за състоянието на издаването и за инцидентите;
• пълно съответствие с Certificate Transparency.

Merkle Tree сертификати и квантовата заплаха

Най-техническата част от плана е Merkle Tree Certificates (MTC). При пост-квантовата криптография подписите и ключовете са толкова големи, че класическата верига сертификати започва да не се вмества удобно в TLS handshake-а. MTC заменя част от тази верига с компактно доказателство в Merkle дърво и сваля обема на предаваните данни.

Cloudflare иска да е сред първите издатели с MTC в производствена употреба през първото тримесечие на 2027 г. Google пък обяви и отделна Chrome Quantum-resistant Root Program — така че двете посоки се движат заедно.

Контекстът: подправени сертификати за Google

Новината идва в особено подходящ момент. Миналата седмица атакуващи превзеха регистрите на националните домейни .gh (Гана), .sl (Сиера Леоне) и .as (Американска Самоа), подмениха авторитетните DNS записи на избрани домейни и така минаха валидацията на собственост — получавайки истински, валидно издадени сертификати за домейни на Google и други големи услуги. Подробностите описахме в статията за фалшивите TLS сертификати.

На 6 октомври Google публикува отговора на Chrome: сертификатите са блокирани през CRLSets, издаващите CA са ги отзовали, а по данни от Certificate Transparency са търсени и допълнителни. Изрично е отбелязано, че няма основание да се смята, че издаващите CA са направили нещо нередно — пробивът е едно ниво по-горе, в самия DNS. Дългосрочните мерки, които Google обещава, са точно двете, които Cloudflare вече вгражда: по-кратка валидност и по-малко преизползване на валидацията.

Какво значи това за вас

Нищо — засега. Няма дата за старт на издаването, защото тя зависи от одобрението на четирите root програми, а този процес обикновено отнема месеци до години. Ако поддържате сайтове, по-полезните действия днес са други: включете CAA записи с ограничение кой CA може да издава за домейна ви (евентуално с ACME account binding) и следете Certificate Transparency логовете за сертификати, които не сте заявявали.

Заключение

Втори голям безплатен CA е добра новина за интернет, независимо дали ще смените издателя си. Монокултурата в сертификатите е риск, а графикът за 47-дневна валидност превръща автоматизацията от удобство в задължение. Оставащият въпрос е по-скоро философски: инфраструктурата на доверието в мрежата се концентрира в още една голяма американска компания — същата, която вече стои пред значителна част от трафика в интернет.