Bài viết này do AI tạo ra, có thể mắc sai sót.
Cloudflare thông báo ý định trở thành certificate authority (CA) công khai. Công ty chưa phát hành chứng chỉ, nhưng đã nộp hồ sơ vào root program của Chrome, Apple, Microsoft và Mozilla; đồng thời ký thỏa thuận mua một root đang được tin cậy rộng rãi từ GlobalSign. Đây là thay đổi đáng chú ý với chuỗi cung ứng TLS, ACME và quá trình chuyển sang WebPKI hậu lượng tử.
Cloudflare đang xây CA công khai, chưa phát hành certificate và mốc MTC production dự kiến là quý I/2027.
Root mới phải mất nhiều năm để lan tới OS, browser và thiết bị cũ. Cloudflare nói root GlobalSign hiện hữu đã có trong trust store từ 2012, giúp tương thích ngày đầu; root mới phục vụ policy tương lai, gồm giới hạn tuổi root của các chương trình tin cậy. Đây là kế hoạch, phụ thuộc quy trình phê duyệt và hoàn tất giao dịch, không phải bảo đảm khả dụng lập tức.
Cloudflare dự kiến phát hành/renew qua ACME. Người dùng CA tự động khác có thể đổi directory URL thay vì dựng lại tooling. Hãng còn nêu sẽ chỉ cấp cho client hỗ trợ ACME Renewal Information (ARI, RFC 9773): client phải poll endpoint renewal, theo renewal window và nhận diện certificate cần thay. Mục tiêu là tránh tình cảnh revocation làm subscriber chưa tự động hóa kịp thay certificate.
MTC là thiết kế certificate gọn hơn cho bối cảnh hậu lượng tử, khi chuỗi chứng chỉ cổ điển có thể phình lớn và gây áp lực lên TLS handshake. Cloudflare dự định trở thành một trong các CA đầu tiên cấp MTC production, với mốc quý I/2027. Hãng cũng nói Chrome xem MTC là hướng ưu tiên cho xác thực hậu lượng tử; chuẩn còn đang là proposal IETF, do đó lộ trình triển khai cần được theo dõi tiếp.
Không có việc bắt buộc phải đổi CA hôm nay. Đây là lúc kiểm tra automation: ACME client, renewal alert, inventory certificate, backup issuer và drill thay chứng chỉ. Đặc biệt cần tách rõ certificate cấp cho public endpoint với origin/internal PKI; một public CA mới không thay thế thiết kế trust nội bộ.
Giá trị lớn nhất của kế hoạch này là thêm đa dạng nguồn cấp certificate tự động, không phải “Cloudflare có CA” đơn thuần. Web hiện phụ thuộc rất lớn vào một số issuer; redundancy giúp giảm single point of failure ở tầng chứng chỉ. Cloudflare có lợi thế vận hành TLS ở quy mô lớn, nhưng CA công khai là vai trò chịu scrutiny cao: root-program acceptance, audit, minh bạch vận hành và incident response mới quyết định mức tin cậy thực tế.
Với đội hạ tầng, bài học ngắn là certificate automation đã thành yêu cầu reliability. Khi thời hạn certificate rút ngắn và PQC tăng kích thước artifact, hệ thống renewal thủ công sẽ thành rủi ro availability.
Cloudflare Blog, “Building a certificate authority for the whole Internet”, công bố 29/9/2026.
