eMudhra 退出全球 SSL 证书生意：免费证书时代，没有 CA 是无辜的
印度证书机构 eMudhra 宣布自愿退出全球 SSL/TLS 证书业务：一次证书事故、Chrome 团队的公开「灵魂拷问」，以及 Let's Encrypt 把证书打成免费品之后，商业 CA 的生存空间还剩多少。本期聊聊浏览器根计划的问责机制，和 PKI 这门生意的经济学。
这周 PKI 圈最大的新闻：印度数字信任公司 eMudhra（BSE: 543533）宣布，董事会已决定自愿退出全球 SSL/TLS 证书业务。官方口径很体面——全球 SSL 业务只占总营收约 1%，合规与数据主权成本逐年上升，「有些大实体免费签发 SSL/TLS」，ROI 越来越薄；再加上最近一起证书事故带来的舆论放大，「退场是最符合股东利益的决定」。HN 上这条新闻冲上 900+ 分、600 多条评论，最高亮的一条只有七个词："You can't fire me, I quit!"（你开除不了我，我先辞职）。我请来老朋友沈峤——在一家云厂商做过多年证书生命周期管理，现在负责基础设施安全——聊聊一家 CA 是怎么走到「体面退场」这一步的。
本文由每日自动管线生成：选题与素材来自 Hacker News 公开讨论，访谈内容由 AI 基于原文整理，嘉宾为角色设定，观点不代表任何真实人物。
小听： 峤哥，先还原一下时间线。eMudhra 这次退场，导火索到底是什么？
沈峤： 导火索是一起 CA 事故。今年 eMudhra 的全球 SSL 证书体系出了问题——具体技术细节他们在声明里没有展开，但 Chrome 团队随后在 Mozilla 的 Bugzilla 上公开提交了一份问题清单，HN 评论区有人形容那是「绝对残酷的灵魂拷问」。eMudhra 的回应是：发现后 14 小时内吊销了受影响的 CA、及时披露、受影响的 CA 没有签发过任何终端实体证书、基础设施没被攻破、没有数据泄露。措辞滴水不漏，但你注意，它没有正面回答 Chrome 那些问题本身。
小听： 所以评论区最高亮的 "You can't fire me, I quit" 是这个意思：与其等着被浏览器根计划除名，不如自己先宣布退出？
沈峤： 就是这个味道。浏览器厂商（Google、Mozilla、Apple）手里握着「根证书计划」，CA 一旦被移出根存储，它签发的证书在所有主流浏览器里立刻变红——等于判了死刑。历史上 Symantec、DigiNotar 都是这么倒下的。eMudhra 这次是「自愿退出」：G1 RSA 根继续服务到过渡完成，吊销和证书状态服务一直跑到所有已签发证书过期或被替换，还承诺给根计划交一份完整的根因报告。姿态做足，但明眼人都看得出来：这是在除名程序走完之前，自己先把门关上。
小听： 声明里有个细节我觉得很诚实：全球 SSL 业务只占它总营收的 1%。一家 CA，SSL 证书只占 1%？
沈峤： 这恰恰是理解这件事的钥匙。eMudhra 有 17 年历史，真正的盘子是印度的数字签名证书（DSC）、eSign、企业 PKI 平台 emCA 和 CertiNext、电子签 emSigner、身份认证 SecurePass——SSL/TLS 只是它「全球化故事」里的一小块。对它来说，这 1% 的业务却要承担 100% 的全球合规成本：WebTrust 审计、根计划的持续审查、各国数据主权要求。HN 上有条评论说得狠：「他们大概是算了笔账，拿着现金去找更赚钱的生意了，极限转身。」从股东角度看，这决定一点不难做。
证书可以免费，但信任一直明码标价。
小听： 声明里还点名了「有些大实体免费签发 SSL/TLS」——这说的就是 Let's Encrypt 吧？免费证书对商业 CA 的冲击到底有多大？
沈峤： 就是 Let's Encrypt，而且这句话是整篇声明里信息量最大的。十年前一张 OV 证书一年几百上千块，是 CA 的利润奶牛；Let's Encrypt 用自动化加 90 天短周期，把 DV 证书打成了免费品，如今它是互联网上签发量最大的 CA。商业 CA 的基本盘被掏空，只剩下 EV、高 assurance 和企业级证书生命周期管理这些免费玩家不碰的角落。eMudhra 的潜台词是：这 1% 的营收，面对的是一个被免费玩家定价的市场，ROI 算不过来。HN 上有条评论更毒：「想继续赚钱的话，可以先退出、等风头过去、换个名字再回来。」——CA 这门生意，牌照和名字就是资产本身。
小听： 说到名字，评论区有人问了个扎心的问题：eMudhra 说要「聚焦 SSL/TLS 之外的信任服务」，「还有人敢信他们吗？」
沈峤： 问到点子上了。信任是 CA 唯一的货币，而信任这东西是按「根」记账的——浏览器信任的是你的根证书，不是你的公司名。eMudhra 退的是「全球 SSL/TLS」这一条线，它的印度本土 DSC、eSign、企业 PKI 照常运转，因为那些业务的信任锚不在浏览器根计划手里，而在印度本土的监管体系里。所以「还有人信吗」的答案是分层的：全球 Web PKI 这条线，它主动把筹码撤了；本土和企业线，基本盘还在。这也是为什么声明反复强调「核心业务不受影响」——它怕的不是技术问题，是信任污染扩散到那 99%。
小听： 还有一类评论在反思制度本身：真正该被追问的是两件事，CA 的初始审批流程，和对所有 CA 的持续监督流程。你怎么看？
沈峤： 这是整场讨论里最有价值的一层。Web PKI 的治理结构其实很脆弱：根计划靠「独立审计报告」来监督 CA，而不是审计真实运营——评论区有人翻出过一个疫情期间的审计样本，现场审计做成什么样可想而知。Chrome 那份「灵魂拷问」之所以让旁观者都替 eMudhra 捏把汗，是因为它暴露了一个现实：出事之前，监督是抽查式的、滞后的；出事之后，问责是公开处刑式的。eMudhra 不是第一家在这套机制下倒下的，也不会是最后一家。有人把矛头指向 CA 论坛和三大厂商当初「给一家远在异国、没什么安全背景的公司发牌照」，这话有点刻薄，但审批标准模糊确实是老问题。
当证书变成免费品，卖证书的人只剩下两种出路。
小听： 最后问个对国内开发者最实际的问题：eMudhra 退场，我们手里的证书要换吗？
沈峤： 两条建议。第一，先查：看看你的证书链里有没有 eMudhra 的根——openssl s_client -connect 拉一下，或者去 crt.sh 搜你的域名。eMudhra 承诺过渡期免费帮客户换到合作伙伴的证书，吊销服务会一直开到所有证书过期，但别把「过渡期」当成「无限期」，主动换比被动等强。第二，借这个机会把证书生命周期管起来：90 天短周期是行业方向，Chrome 还在推把有效期一路压到 47 天的路线图，靠人工续证书的团队，Let's Encrypt 的自动化或者云厂商的托管证书才是正解。这次退场的教训不是「别用小 CA」，而是：你的证书策略里，有没有一家 CA 倒掉也能无痛切换的预案？本文观点仅代表访谈角色设定，原始讨论见参考链接。