Filtraggio per: intermediate CA certificates x cancella
new

CertCentral to issue GeoTrust and RapidSSL DV certificates from new intermediate CA certificates

On May 24, 2022, between 9:00 am and 11:00 am MDT (3:00 pm and 5:00 pm UTC), DigiCert will replace the GeoTrust and RapidSSL intermediate CA (ICA) certificates listed below. We can no longer issue maximum validity (397-day) DV certificates from these intermediates.

Old ICA certificates

  • GeoTrust TLS DV RSA Mixed SHA256 2020 CA-1
  • GeoTrust TLS DV RSA Mixed SHA256 2021 CA-1
  • RapidSSL TLS DV RSA Mixed SHA256 2020 CA-1
  • RapidSSL TLS DV RSA Mixed SHA256 2021 CA-1

New ICA certificates

  • GeoTrust Global TLS RSA4096 SHA256 2022 CA1
  • RapidSSL Global TLS RSA4096 SHA256 2022 CA1

See the DigiCert ICA Update KB article.

How does this affect me?

Rolling out new ICA certificates does not affect your existing DV certificates. Active certificates issued from the replaced ICA certificates will remain trusted until they expire.

However, all new certificates, including certificate reissues, will be issued from the new ICA certificates. To ensure ICA certificate replacements go unnoticed, always include the provided ICA certificate with every TLS certificate you install.

No action is required unless you do any of the following:

  • Pin the old versions of the intermediate CA certificates
  • Hard code the acceptance of the old versions of the intermediate CA certificates
  • Operate a trust store that includes the old versions of the intermediate CA certificates

Action required

If you practice pinning, hard code acceptance, or operate a trust store, update your environment as soon as possible. You should stop pinning and hard coding ICA certificates or make the necessary changes to ensure your GeoTrust DV and RapidSSL DV certificates issued from the new ICA certificates are trusted. In other words, make sure they can chain up to their new ICA certificate and trusted root.

See the DigiCert Trusted Root Authority Certificates page to download copies of the new Intermediate CA certificates.

What if I need more time?

If you need more time to update your environment, you can continue to use the old 2020 ICA certificates until they expire. Contact DigiCert Support, and they can set that up for your account. However, after May 31, 2022, RapidSSL DV and GeoTrust DV certificates issued from the 2020 ICA certificates will be truncated to less than one year.

compliance

Industry moves to 3072-bit key minimum RSA code signing certificates

Starting May 27, 2021, to comply with new industry standards for code signing certificates, DigiCert will make the following changes to our code signing certificate process.

  • Stop issuing 2048-bit key code signing certificates
  • Only issue 3072-bit key or stronger code signing certificates
  • Use 4096-bit key intermediate CA and root certificates to issue our code signing certificates.

See Appendix A in the Baseline Requirements for the Issuance and Management of Publicly-Trusted Code Signing Certificates to learn more about these industry changes,

How do these changes affect my existing 2048-bit key certificates?

All existing 2048-bit key size code signing certificates issued before May 27, 2021, will remain active. You can continue to use these certificates to sign code until they expire.

What if I need 2048-bit key code signing certificates?

Take these actions, as needed, before May 27, 2021:

  • Order new 2048-bit key certificates
  • Renew expiring 2048-bit key certificates
  • Reissue 2048-bit key certificates

How do these changes affect my code signing certificate process starting May 27, 2021?

Reissues for code signing certificate

Starting May 27, 2021, all reissued code signing certificates will be:

  • 3072-bit key or stronger. See eTokens for EV code signing certificates and HSMs for EV code signing certificates below.
  • Automatically issued from new intermediate CA and root certificates. See New ICA and root certificates below.

New and renewed code signing certificates

Starting May 27, 2021, all new and renewed code signing certificates will be:

  • 3072-bit key or stronger. See eTokens for EV code signing certificates and HSMs for EV code signing certificates below.
  • Automatically issued from new intermediate CA and root certificates. See New ICA and root certificates below.

CSRs for code signing certificates

Starting May 27, 2021, you must use a 3072-bit RSA key or larger to generate all certificate signing requests (CSR). We will no longer accept 2048-bit key CSRs for code signing certificate requests.

eTokens for EV code signing certificates

Starting May 27, 2021, you must use an eToken that supports 3072-bit keys when you reissue, order, or renew an EV code signing certificate.

  • When you order or renew an EV code signing certificate, DigiCert includes a 3072-bit eToken with your purchase. DigiCert provides an eToken with the Preconfigured Hardware Token provisioning option.
  • When your reissue your EV code signing certificate reissues, you must provide your own 3072-bit eToken. If you don't have one, you will be unable to install your reissued certificate on your eToken.
  • You must have a FIPS 140-2 Level 2 or Common Criteria EAL4+ compliant device.

HSMs for EV code signing certificates

Starting May 27, 2021, you must use an HSM that supports 3072-bit keys. Contact your HSM vendor for more information.

New ICA and root certificates

Starting May 27, 2021, DigiCert will issue all new code signing certificates from our new RSA and ECC intermediate CA and root certificates (new, renewed, and reissued).

RSA ICA and root certificates:

  • DigiCert Trusted G4 Code Signing RSA4096 SHA384 2021 CA1
  • DigiCert Trusted Root G4

ECC ICA and root certificates:

  • DigiCert Global G3 Code Signing ECC SHA384 2021 CA1
  • DigiCert Global Root G3

No action is required unless you practice certificate pinning, hard code certificate acceptance, or operate a trust store.

If you do any of these things, we recommend updating your environment as soon as possible. Stop pinning and hard coding ICAs or make the necessary changes to ensure certificates issued from the new ICA certificates are trusted (in other words, they can chain up to their issuing ICA and trusted root certificates).

References

If you have questions or concerns, please contact your account manager or our support team.

enhancement

CertCentral Services API: Auto-reissue support for Multi-year Plans

We are happy to announce that the CertCentral Services API now supports automatic certificate reissue requests (auto-reissue) for Multi-year Plans. The auto-reissue feature makes it easier to maintain SSL/TLS coverage on your Multi-year Plans.

You can enable auto-reissue for individual orders in your CertCentral account. When auto-reissue is enabled, we automatically create and submit a certificate reissue request 30 days before the most recently issued certificate on the order expires.

Enable auto-reissue for a new order

To give you control over the auto-reissue setting for new Multi-year Plans, we added a new request parameter to the endpoints for ordering DV, OV, and EV TLS/SSL certificates: auto_reissue.

By default, auto-reissue is disabled for all orders. To enable auto-reissue when you request a new Multi-year Plan, set the value of the auto_reissue parameter to 1 in the body of your request.

Example request body:

Example order request body with auto reissue enabled

Note: In new order requests, we ignore the auto_reissue parameter if:

  • The product does not support Multi-year Plans.
  • Multi-year Plans are disabled for the account.

Update auto-reissue setting for existing orders

To give you control over the auto-reissue setting for existing Multi-year Plans, we added a new endpoint: Update auto-reissue settings. Use this endpoint to enable or disable the auto-reissue setting for an order.

Get auto-reissue setting for an existing order

To help you track the auto-reissue setting for existing certificate orders, we added a new response parameter to the Order info endpoint: auto_reissue. The auto_reissue parameter returns the current auto-reissue setting for the order.

new

ICA certificate chain selection for public DV flex certificates

We are happy to announce that select public DV certificates now support Intermediate CA certificate chain selection:

  • GeoTrust DV SSL
  • Thawte SSL 123 DV
  • RapidSSL Standard DV
  • RapidSSL Wildcard DV
  • Encryption Everywhere DV

You can add a feature to your CertCentral account that enables you to control which DigiCert ICA certificate chain issues the end-entity certificate when you order these public DV products.

This feature allows you to:

  • Set the default ICA certificate chain for each supported public DV certificate.
  • Control which ICA certificate chains certificate requestors can use to issue their DV certificate.

Configure ICA certificate chain selection

To enable ICA selection for your account:

  1. Contact your account manager or our Support team.
  2. Then, in your CertCentral account, in the left main menu, go to Settings > Product Settings.
  3. On the Product Settings page, configure the default and allowed intermediates for each supported and available DV certificate.

For more information and step-by-step instructions, see the Configure the ICA certificate chain feature for your public TLS certificates.

new

DigiCert Services API: DV certificate support for ICA certificate chain selection

In the DigiCert Services API, we made the following updates to support ICA selection in your DV certificate order requests:

Pass in the issuing ICA certificate's ID as the value for the ca_cert_id parameter in your order request's body.

Example DV certificate request:

Example DV TLS certificate request

For more information about using ICA selection in your API integrations, see DV certificate lifecycle – Optional ICA selection.

compliance

DigiCert smette di emettere certificati di firma codice SHA-1

Martedì, 1° dicembre 2020 MST, DigiCert smetterà di emettere certificati di firma codice SHA-1 e SHA-1 EV.

Nota: Tutti i certificati di firma codice SHA-1/EV esistenti rimarranno attivi finché non scadono.

Perché DigiCert sta effettuando queste modifiche?

Per rispettare i nuovi standard industriali, le autorità di certificazione (CA) devono apportare le seguenti modifiche entro il 1° gennaio 2021:

  • Interrompe l’emissione di certificati di firma codice SHA-1
  • Interrompe l’utilizzo di certificati CA intermedi SHA-1 e radice SHA-1 per emettere certificati di firma codice e con indicazione di data e ora con algoritmo SHA-256

Consulta l’Appendice A nei Requisiti base per l’emissione e la gestione di certificati di firma codice pubblicamente attendibili.

In che modo le modifiche al certificato di firma codice SHA-1 mi interessano?

Se ti affidi ai certificati di firma codice SHA-1, esegui queste operazioni come necessario prima del 1° dicembre 2020:

  • Richiedi i tuoi certificati SHA-1 nuovi
  • Rinnova i tuoi certificati SHA-1
  • Riemetti e richiedi i certificati SHA-1 necessari

Per ulteriori informazioni sulle modifiche del 1° dicembre 2020, consulta il nostro articolo di knowledgebase DigiCert interrompe l’emissione di certificati di firma codice SHA-1.

Se hai altre domande, contatta il tuo account manager o il nostro team di assistenza.

new

Sostituzione DigiCert dei certificati CA intermedi

Il 2 novembre 2020 DigiCert sostituisce un altro set di certificati CA intermedi (ICA). Per un elenco dei certificati ICA da sostituire, consulta il nostro articolo KB Aggiornamento ICA DigiCert.

In che modo mi interessa la questione?

L’implementazione di nuove ICA non interessa i certificati esistenti. Non rimuoviamo una vecchia ICA dagli archivi dei certificati finché tutti i certificati da lei emessi non sono scaduti. Ciò significa che i certificati attivi emessi dall’ICA sostituita continueranno ad essere attendibili.

Tuttavia, ciò interesserà i certificati esistenti se li riemetti quando saranno emessi dalla nuova ICA. Ti informiamo di includere sempre l’ICA fornita con ogni certificato che installi. Questa è sempre stata la best practice raccomandata per garantire che le sostituzioni ICA passino inosservate.

Non occorre alcuna azione a meno che non fai una delle seguenti operazioni:

  • Blocca le versioni vecchie dei certificati CA intermedi
  • Imposta come hard code l’accettazione delle versioni vecchie dei certificati CA intermedi
  • Usa uno store di fiducia che includa le versioni vecchie dei certificati CA intermedi

Se esegui una delle suddette operazioni, raccomandiamo di aggiornare il tuo ambiente il prima possibile. Interrompi il blocco e l’hard code degli ICA o apporta le modifiche necessarie per garantire che i certificati emessi dalle nuove ICA sono attendibili (in altre parole, è possibile collegarli alla loro ICA aggiornata e alla radice attendibile).

Sostituzioni certificato CA intermedio

Verifica di monitorare le pagine elencate di seguito. Si tratta di pagine attive e vengono aggiornate regolarmente con le informazioni di sostituzione del certificato ICA e con le copie dei nuovi certificati CA intermedi DigiCert.

Perché DigiCert sostituisce i certificati CA intermedi?

Stiamo sostituendo le ICA per:

  • Promuovere l’agilità del cliente con la sostituzione ICA
  • Redurre l’ambito di emissione del certificato da qualsiasi determinata per mitigare l’impatto delle modifiche negli standard industriali e nelle linee guida del forum CA/Browser apportate ai certificati intermedi e di entità finale
  • Migliorare la sicurezza di Internet garantendo che tutte le ICA operino usando gli ultimi miglioramenti

Se hai delle domande o dei dubbi, contatta il tuo account manager o il nostro team di assistenza.

new

Selezione della catena di certificati ICA per certificati OV ed EV flessibili pubblici

Siamo lieti di annunciare che i certificati EV ed OV pubblici con capacità flessibili ora supportano la selezione della catena dei certificati CA intermedi.

Puoi aggiungere un’opzione al tuo account CertCentral che ti consente di controllare quale catena dei certificati ICA DigiCert emette i tuoi certificati OV ed EV "flessibili" pubblici.

Questa opzione ti consente di:

  • Impostare la catena dei certificati ICA predefinita per ciascun certificato OV ed EV flessibile pubblico.
  • Controllare quali catene di certificati ICA possono essere usati dai richiedenti del certificato per emettere il loro certificato flessibile.

Configura la selezione della catena dei certificati ICA

Per disabilitare la selezione ICA per il tuo account, contatta il tuo account manager o il nostro team di assistenza. Dopodiché, nel tuo account CertCentral, nella pagina Impostazioni prodotto (nel menu principale a sinistra, vai in Impostazioni > Impostazioni prodotto), configurare l’impostazione predefinita e i certificati intermedi consentiti per ciascun tipo di certificato OV ed EV flessibile.

Per ulteriori informazioni le istruzioni dettagliate, consulta Opzione di catena di certificati ICA per certificati OV ed EV flessibili pubblici.

new

Supporto DigiCert Services API per la selezione della catena di certificati ICA

In DigiCert Services API, abbiamo effettuato i seguenti aggiornamenti per supportare la selezione ICA nelle tue integrazioni API:

  • Creato nuovo endpoint Limiti di prodotto
    Usa questo endpoint per ottenere le informazioni sui limiti e sulle impostazioni per i prodotti abilitati per ciascuna divisione nel tuo account. Ciò include valori ID per le catene dei certificati ICA consentiti e predefiniti di ciascun prodotto.
  • Supporto aggiunto per la selezione ICA nelle richieste di ordine certificato TLS OV ed EV flessibile pubblico
    Dopo aver configurato i certificati intermedi consentiti per un prodotto, puoi selezionare la catena dei certificati ICA che dovrebbe emettere il tuo certificato quando usi l’API per inviare una richiesta di ordine.
    Passa nell’ID del certificato ICA emittente come il valore per il parametro ca_cert_id nel corpo della tua richiesta di ordine

Esempio di richiesta certificato flessibile:

Example flex certificate request

Per ulteriori informazioni sull’uso della selezione ICA nelle tue integrazioni API, consulta Durata del certificato OV/EV – (Opzionale) Selezione ICA.