Cloudflare تبني CA عامة خاصة بها وتستحوذ على شهادة جذر من GlobalSign

أعلنت Cloudflare في 29 سبتمبر أنها تخطط لتصبح جهة إصدار شهادات عامة (certificate authority, CA)، لكنها لا تصدر الشهادات بعد. وفي Birthday Week عرضت الشركة الخطوات الأولى: تقدمت بطلبات إلى برامج Root الخاصة بـ Chrome وApple وMicrosoft وMozilla ووقعت اتفاقية لشراء شهادة الجذر (root) من GlobalSign، ما سيمنح قاعدة واسعة من الأجهزة شهادات منذ أول يوم إصدار.

مساران نحو الثقة

لن يكون root المُنشأ حديثًا مفيدًا على نطاق واسع لسنوات: فحتى بعد قبوله في برنامج Root يجب أن ينتشر في أنظمة التشغيل والأجهزة، ولن يصل إلى الأجهزة التي بقيت دون تحديث. يتمتع root الحالي من GlobalSign بالثقة منذ 2012 ويصل تحديدًا إلى العملاء القدامى، أما root الجديد فهو مصمم للسياسات التي تحد من عمر root الموثوق. تحتفظ Cloudflare بكليهما.

مصدر جديد للشهادات المجانية

تخدم الشهادات المجانية التلقائية اليوم معظم الويب المشفر. تصدر Let's Encrypt نحو 10 ملايين شهادة يوميًا، وتخدم أكثر من 500 مليون موقع، وتجاوزت 4 مليارات شهادة نشطة في 2025. وتقول Cloudflare إن هذا يجلب أيضًا مخاطر نظامية: إذا تعطلت الجهة المهيمنة، فلن يكون للويب بديل مجاني مماثل. ستعتمد CA الجديدة على ACME، لذا من يستخدم بالفعل CA مجانية سينتقل فقط بتغيير عنوان URL للدليل.

المرونة والشفافية

تقول Cloudflare إنها ستركز أكثر على تقليل آثار الأخطاء بدلًا من منعها. سيكون الشرط الإلزامي للإصدار هو أتمتة التجديد: لن يحصل على الشهادة إلا من يدعم ACME Renewal Information (ARI, RFC 9773) ويقرأ نقطة التجديد. ولأجل الشفافية تخطط الشركة لتكرار برنامج الموقّع، واعتماد أجهزة HSM، ولوحة عامة.

إنترنت ما بعد الكم

تعتزم الشركة أن تكون من أوائل من يصدرون في الإنتاج شهادات Merkle Tree Certificates (MTC): من المقرر أن تكون الأولى في الربع الأول من 2027. إن MTC صيغة أكثر إحكامًا بكثير لعالم ما بعد الكم، حيث تثقل السلاسل التقليدية مصافحة TLS. هذا العام وصفت Chrome MTC بأنها الطريقة المفضلة للمصادقة بعد الكم. ستخدم CA واحدة كلا نوعي الشهادات، ما يتيح اجتياز انتقال متعدد السنوات تدريجيًا.

بالنسبة إلى CA الجديدة، ستؤدي Cloudflare دور Customer Zero وستواصل التعاون مع 16 جهة CA شريكة اعتمدت عليها لسنوات.