云消息队列 MQTT 版 服务端证书升级公告
Jul 30, 2026
云消息队列 MQTT 版影响时间
升级背景
根据 Mozilla 新的根证书信任策略，对于用于验证服务器身份的根证书，若该根证书签发时间超过 15 年，则 Mozilla 不再信任该根证书。受此影响，Mozilla FireFox、Google Chrome 等主流浏览器不再信任签发时间超过 15 年的根证书。因此，使用旧版 GlobalSign 根证书 (R1/R3/R5/R6) 的网站在 Mozilla Firefox、Google Chrome 等主流浏览器届时将会出现安全警告或无法正常访问的情况，直接影响用户体验和业务连续性。
升级内容
为保障 TLS 通信安全及证书持续有效，自北京时间 2026 年 07 月21 日起，MQTT 服务端证书将在证书到期前陆续由原 GlobalSign R1/R3 证书链升级为 GlobalSign R1/R46 证书链。
证书链变化
升级前：
*.mqtt.aliyuncs.com
→ GlobalSign GCC R3 OV TLS CA 2024
→ GlobalSign Root CA - R3
→ GlobalSign Root CA R1（交叉签名）
升级后：
*.mqtt.aliyuncs.com
→ GlobalSign GCC R46 OV TLS CA 2025
→ GlobalSign Root R46
→ GlobalSign Root CA R1（交叉签名）
升级影响
重要提醒：用于兼容旧客户端的 GlobalSign Root CA R1 证书将于 2028 年 1 月 28 日过期。
如果客户端仅信任 R1，未内置或信任 GlobalSign Root R46，后续可能出现 TLS 握手失败、证书链不受信任等问题。
建议相关用户提前完成以下检查：
- 升级客户端操作系统、JDK、OpenSSL 或 CA 信任库。
- 确认客户端已信任 GlobalSign Root R46。
- 对使用裁剪版 CA、IoT 设备或自定义证书库的客户端，提前植入 R46 根证书并进行连接验证。
本次升级不会修改 MQTT 接入域名和端口，请相关业务提前完成客户端兼容性验证，避免证书链切换或 R1 证书到期影响连接。