# 美团域名 HTTPS 根证书切换公告
适用范围：通过 HTTPS 访问美团相关域名的合作伙伴
- 建议完成改造：2026.12.31 前
- 首次切换：2027 年 4 月至 9 月
尊敬的合作伙伴，您好：
受 HTTPS 域名证书管理机构政策、根证书自然过期影响，未来 5 年美团相关域名将进行多次根证书切换。2027 年 4 月至 9 月将切换至 DigiCert G1 G2 交叉根证书。
在根证书切换后，若您的服务/系统缺失对应的根证书，则访问美团域名会失败，建议您在 2026.12.31 前完成改造，具体改造可参考以下方案进行改造。
因您未及时更新或配置域名根证书导致平台服务无法访问、数据丢失、业务中断、用户损失或其他相关后果，美团对此不承担任何责任，所有风险和法律责任均由您自行承担，同时美团有权暂停或终止相关服务且不予赔偿。
请先确认您的系统是否通过 HTTPS 访问相关美团域名，若仅使用 HTTP，则不涉及本次根证书缺失风险、无需改造。
# 一、建议改造方案
未来 5 年美团会分别切换并使用 DigiCert Global Root CA（简称 DigiCert G1）、DigiCert Global Root G2（简称 DigiCert G2）、GlobalSign Root CA - R3（简称 GlobalSign R3）、DigiCert TLS RSA4096 Root G5（简称 DigiCert G5）、USERTrust RSA Certification Authority（简称 USERTrust）、GlobalSign Root R46（简称 GlobalSign R46），请确保您的服务实际使用的信任库包含以上根证书。
# 第一步：检查是否需要升级
请在与生产环境一致的运行环境中，使用业务实际使用的 SDK / 服务请求以下验证域名，以验证是否信任对应的根证书。若 TLS 握手成功且证书校验通过，则说明能够信任该验证域名使用的证书链，无需改造；若验证失败，如出现 certificate verify failed 等报错，请进一步排查原因，确认存在根证书缺失后，按第二步完成升级。
| 根证书 | 验证域名 |
|---|---|
| DigiCert G1G2 交叉根 | https://root-certs-verify-digicert.meituan.com/ |
| GlobalSign Root R3 | https://valid.r3.roots.globalsign.com/ |
| DigiCert Global Root G2 | https://g2-digicert.it.tencent.com/ |
| GlobalSign Root R46 | https://aaaabbbb.easy-signing.com/ |
| DigiCert TLS RSA4096 Root G5 | https://nat-lb-ips.cfapps.us11.hana.ondemand.com/（HTTP 403 不代表 TLS 验证失败） |
| USERTrust RSA Certification Authority | https://www.sectigo.com/ |
# 第二步：参考对应场景方案完成升级
缺 DigiCert G1 的服务需要在 2027.03.30 前完成治理，缺 USERTrust 的服务需要在 2028.06.30 前完成治理，缺 DigiCert G5 的服务需要在 2030.12.30 前完成治理。
服务的根证书信任源取决于其证书验证机制，主要分两类场景：
- 依赖操作系统信任库：直接使用操作系统的证书信任列表。
- 使用内置独立信任库：使用独立于操作系统的内置证书库（如 Java 的 cacerts）。即使宿主操作系统已更新，若客户端底层的运行时版本（如 JDK 版本）过低，仍会因内置证书库缺失新根证书而校验失败。
以下列出了常见系统和服务的升级方法。若未涵盖您使用的系统或服务，请查阅相应的官方文档，选择适用的升级方案。
- Android 设备：升级手机/设备操作系统到较新版本；无法升级的系统，通过 adb 手动推送缺失的根证书文件到系统证书目录。
- Ubuntu 系统：升级 ca-certificates 包到最新版本；升级后若仍缺少所需根证书，请将缺失的根证书 PEM 文件添加到系统信任目录并刷新。
- CentOS 系统：升级 ca-certificates 包到 2023 版本以上；升级后若仍缺少所需根证书，请将证书文件添加到系统信任目录，并执行 update-ca-trust。
- Node.js：升级 Node.js 版本（内置 CA 包随之更新），或升级系统 CA 证书后让程序使用系统 CA。
- Python：升级 certifi >= 2022.06.15 且 requests >= 2.4.1，或升级系统 CA 证书后让程序使用系统 CA。
- C++：若程序使用系统 CA 信任库，请更新系统 CA 证书；若使用自定义信任库，请更新对应的证书文件。
- JDK：升级 JDK 到较新子版本（8u421、17.0.12、21.0.4 以上），JDK 信任库会随版本更新。
- Windows：通过系统工具 certutil 下载最新根证书列表并导入。
- macOS：下载最新根证书列表并导入。
升级完成后，请按照第一步的方法访问验证域名，确认 TLS 握手成功且证书校验通过。
# 二、FAQ
Q：什么是根证书缺失风险？
A：根证书缺失风险是指：客户端或服务运行环境的信任库中，缺少用于验证目标 HTTPS 服务证书的受信任根证书，导致无法确认服务端身份，TLS 握手失败，请求被拒绝。例如，目标服务更换了证书签发机构，但您的容器、操作系统或 Java 信任库未及时更新，就可能出现这类问题。主要影响是 HTTPS 接口调用失败、依赖服务不可用，进而造成业务异常或中断。因此，请您确保请求美团域名的服务所使用的信任库中，包含美团未来切换所需的根证书。
Q：什么是交叉根证书？
A：交叉根证书是指：一个 CA 使用自己的根证书私钥，为另一个根 CA 的公钥签发的证书，用于让原本只信任前者的客户端，也能验证后者签发的证书链。例如，客户端信任旧根 A，但不信任新根 B。通过 A 为 B 签发的交叉证书，客户端可以沿着“网站证书 → 中间证书 → B 的交叉证书 → 受信任的根 A”完成验证，从而兼容尚未信任新根 B 的客户端。它的主要作用是帮助根证书平滑切换，降低旧客户端因缺少新根证书而连接失败的风险。
Q：未来 5 年美团域名根证书切换的时间规划？
A：以下为预计切换安排，如有调整，我们将及时通知。
| 类别\动作 | GlobalSign R1R46 -> DigiCert G1G2 | GlobalSign R3（备用） | DigiCert G1G2 -> DigiCert G1G5 | Sectigo USERTrust（备用） | DigiCert G1G5 -> DigiCert G5 |
|---|---|---|---|---|---|
| 切换时间 | 2027Q2~Q3 | - | 2028Q2~Q3 | - | 2031Q1~Q3 |
| 切换原因 | 自然过期 | 主根证书故障 | 政策变化 | 主根证书故障 | 自然过期 |
| 建议 DDL | 2027.03.30 | 2027.03.30 | 2028.03.30 | 2028.06.30 | 2030.12.30 |
| 强制 DDL | 2027.09.30 | 2027.09.30 | 证书更新前45天周知使用Pinning的业务，证书过期前15天更新 | 2028.11.30 | 2031.08.30 |
| 影响范围 | 全部域名 | 故障域名 | 全部域名 | 故障域名 | 全部域名 |
说明：建议 DDL、强制 DDL 的区别是故障剩余的处理时间：3 个月以上 or 一/两周。 建议 DDL：此时间前完成，如遇到故障可回滚，使用老根证书签发证书部署，有 3 个月以上时间供业务治理遗漏的问题；强制 DDL：此时间前完成，如遇到故障只能回滚，不能使用老根签发证书了，只有一/两周时间供业务治理遗漏的问题。
Q：根证书从哪里下载？
A：可通过 Mozilla 根证书列表（https://wiki.mozilla.org/CA/Included_Certificates）查找并下载所需的根证书。随着根证书信任策略的调整，部分较新的系统可能不再包含 GlobalSign Root CA、DigiCert Global Root CA 等旧根证书，关键在于系统能否通过其他受信任的根证书完成目标证书链的校验。即使缺少上述两个旧根证书，只要系统中包含其他所需的根证书，且能够通过证书链校验（即成功访问上述验证域名），就不会影响正常访问。
| 根证书 | SHA-256 Fingerprint |
|---|---|
| GlobalSign Root CA | EBD41040E4BB3EC742C9E381D31EF2A41A48B6685C96E7CEF3C1DF6CD4331C99 |
| GlobalSign Root CA - R3 | CBB522D7B7F127AD6A0113865BDF1CD4102E7D0759AF635A7CF4720DC963C53B |
| GlobalSign Root R46 | 4FA3126D8D3A11D1C4855A4F807CBAD6CF919D3A5A88B03BEA2C6372D93C40C9 |
| DigiCert Global Root CA | 4348A0E9444C78CB265E058D5E8944B4D84F9662BD26DB257F8934A443C70161 |
| DigiCert Global Root G2 | CB3CCBB76031E5E0138F8DD39A23F9DE47FFC35E43C1144CEA27D46A5AB1CB5F |
| DigiCert TLS RSA4096 Root G5 | 371A00DC0533B3721A7EEB40E8419E70799D2B0A0F2C1D80693165F7CEC4AD75 |
| USERTrust RSA Certification Authority | E793C9B02FD8AA13E21C31228ACCB08119643B749C898964B1746D46C3D4CBD2 |
如有疑问可以联系平台