在SSL/TLS证书体系里，中级根证书是一个承上启下的关键角色。要理解它，得先搞清楚整个证书信任链是怎么搭建的。
一张SSL证书能被浏览器信任，靠的不是孤立的“这张证书本身可信”，而是它背后有一条完整的信任链条。这条链条通常由三个层级构成：
最顶层是顶级根证书，它是信任的起点，由CA机构自己给自己签发，被提前预装在你的操作系统和浏览器里。顶级根证书的私钥是整个CA体系里最核心的资产，一旦泄露，整个信任体系就会崩塌，所以它通常被存放在不联网的物理设备里，几乎从不拿出来使用。
中间层就是中级根证书，它由顶级根证书签发，是顶级根的“授权代理”。日常签发用户证书的工作，实际上都是由中级根证书来完成的。
最底层是最终用户证书，也就是你为网站申请并部署的那张SSL证书，它由中级根证书签发。
这三层环环相扣，形成了一个完整的信任链条。
中级根证书的核心作用
为什么要费心设计出这么一个中间层？直接让顶级根签发用户证书不行吗？答案是不行，因为这样做风险太高了。中级根证书的存在，主要解决了三个关键问题。
第一，保护顶级根证书的安全。
顶级根证书是整个信任体系的源头，一旦私钥泄露，后果是灾难性的——CA签发的所有证书都将不再被信任，而且无法挽回。通过引入中级根证书，顶级根的私钥可以长期离线封存，日常签发证书的操作全部交给中级根去完成。即使某张中级根证书因为意外泄露或违规操作需要被吊销，CA也只需要处理这一张中级证书，而无需触动顶级的根证书，从而避免了更大范围的信任危机。
第二，构建完整的信任链，让浏览器能验证你的证书。
当浏览器访问你的网站时，会收到服务器发来的证书。浏览器会做这样一件事：查看你的证书是谁签发的——发现是某张中级证书；再查看这张中级证书是谁签发的——发现是某个顶级根证书；然后在自己的信任存储库里查找这个顶级根证书是否存在、是否可信。如果整个链条完整无误，浏览器就信任你的网站。
如果服务器上只部署了用户证书，而没有把中间的中级证书一并安装上去，浏览器就会报错，提示“证书链不完整”，页面显示不安全。PC端的浏览器有时候能自动补全缺失的中间证书，但手机浏览器通常不会，这就导致很多网站在PC上访问正常，到了手机上却提示证书有问题——原因多半就是中级证书没有正确部署。
第三，提升证书管理的效率和灵活性。
证书吊销列表是用来记录被撤销证书的清单。如果没有中级根这层结构，所有的证书信息都挂在顶级根下面，查询和维护的压力会非常大。引入中级根之后，吊销列表的管理可以分散到各个中级证书下，浏览器查询起来更快，验证效率更高。
另外，CA机构还可以根据需要签发不同用途的中级证书——比如一个专门签发DV证书的中级根、一个专门签发OV证书的中级根、一个专门签发EV证书的中级根——实现分级分类管理，操作起来也更加灵活。
总结
中级根证书的本质，是顶级根证书的一个“分身”或“代理”，核心目的就是用“日常操作交出去、核心钥匙锁起来”的方式，既保证顶级根的安全，又确保日常签发证书的工作能顺畅进行。对于网站管理员来说，部署证书时一定要记得把中级证书一起装上，否则信任链断了一环，用户访问就会出问题。
领取优惠
提交成功！