如何让自己签发的根证书在全网都为可信状态。。。。。。。。

钱

花点钱买通上下游机构，我觉得几个逸就够了

除非你的网站有像 12306 一样的需求，让人不得不相信你的证书。

楼主的“全网”指的是？
如果是整个局域网内，一台台机器装一下证书就行。
如果是整个互联网，楼主可以考虑购买一个 Symantec 之类的公司，证书就可以随便签了。

和 google&mozila 商量一下？

@turan12 其实就是想知道 那些 CA 机构的根证书怎么操作才会让微软把他们加进可信的
@lzhr
@BFDZ
@azh7138m

几个亿就可以了，哈哈

找可信 CA 交叉签署你的继根，然后用这个继根签署目标证书。

持续发行一段时间证书，没有违规的地方，就可以去各家提交申请了。

各家机构都有相关准则，其中 Mozilla 的是 https://www.mozilla.org/en-US/about/governance/policies/security-group/certs/policy/

另外开展业务之前拟定好 CP/CPS，并且严格遵守，在申请可信的时候都是要核验的。

对了，在国内从事密码行业，必须获得密码使用许可，相关信息关注各省密码管理局

参考 let's encrypt
早期和某个 CA 搞好关系，成为中级 CA，用自己的 CA 系统和买来的中级 CA 共同签发证书
在此期间证明自己的系统和流程安全
等足够的时间建立信任，CAB 论坛会决审批
https://zh.m.wikipedia.org/wiki/CA/浏览器论坛

@ryd994 CAB 不管可信根，各家浏览器 /操作系统自行维护可信列表

转一个讨论串 https://groups.google.com/forum/#!topic/mozilla.dev.security.policy/wCZsVq7AtUY

这是 mozilla.dev.security.policy 上比较新的一个已经有长篇讨论的申请

@ryd994 共同签发？
是指同时签发俩
还是交叉。。。

@chinvo 唔，是我说错了

自己的根证书不是钱能搞定的事情了，要很长的时间建立信任。
当然中级证书就可以花钱去买，几个大一点的 CA 都有卖 PKI 服务。

@Event 参考 @chinvo #8 交叉签你的中继 CA

如果有 zf 信用背书，很快的，参见 cnnic 证书

@Shura 然后签假证书被吊销了，滑稽

钱到位即可

世界加钱可及

@Shura ZF 信用破产了，加上 CNNIC 自己也作死 :p

@hotsnow @BXIA
明明是资本主义亡我修正社会主义之心不死，怎么说是 cnnic 作死呢？不就一年发几万个假证书吗？滑稽。

首选找 4 大做 webtrust 审计，然后按照 cab 的要求改进你的 cp 与 cps，微软、苹果、adobe 基本上给钱就能入根，mozilla 的入根周期基本上要 1 年，很多几年都过不了，慢慢磨，google （ android ）入根条件是你的根证书必需先入了 mozilla 的 nss

直接收购一家现有 CA 是最快最省事的解决方案 :p

首先需要到 mozilla 进行根证书收录申请工作，这部分成功后再向 google，microsoft 等进行申请。mozilla 方面的成功申请可能是一个前提条件。

自己造个浏览器，玩自己的规则，什么品牌网站都可以搞！

没有办法，因为用户可以在客户端手动取消