一月 25, 2021
CertCentral Services API: Improved Domain emails endpoint
To make it easier to find the DNS TXT email addresses that receive validation emails from DigiCert for email-based domain control validation (DCV), we added a new response parameter to the Domain emails endpoint: dns_txt_emails.
The dns_txt_emails parameter returns a list of email addresses found in the DNS TXT record for the domain. These are the email addresses we find in the DNS TXT record on the _validation-contactemail subdomain of the domain being validated.
Example response with new parameter:
To learn more about the newly supported email to DNS TXT contact DCV method:
For information about validating the domains on DV certificate orders:
For information about validating the domains on OV/EV certificate orders:
一月 13, 2021
CertCentral: Email to DNS TXT contact DCV method
We are happy to announce that DigiCert now supports sending an email to a DNS TXT contact for email-based domain control validation (DCV). This means you can add email addresses to the DNS TXT record for your domain. DigiCert automatically searches the DNS TXT records and sends the DCV email to those addresses. An email recipient needs to follow the instructions in the email to demonstrate control over the domain.
Note: Previously, DigiCert only sent DCV emails to WHOIS-based and constructed email addresses.
Industry changes
Contact information is becoming increasingly inaccessible in WHOIS records due to privacy policies and other constraints. With the passing of Ballot SC13, the Certificate Authority/Browser (CA/B) forum added Email to DNS TXT contact to the list of supported DCV methods.
DNS TXT record email contacts
To use email to Email to DNS TXT contact DCV method, you must place the DNS TXT record on the _validation-contactemail subdomain of the domain you want to validate. DigiCert automatically searches WHOIS and DNS TXT records and sends the DCV email to the addresses found in those records.
_validation-contactemail.example.com | Default | validatedomain@digicerttest.com
The RDATA value of this text record must be a valid email address. See section B.2.1 DNS TXT Record Email Contact in the Appendix of the baseline requirements.
For more information about Ballot SC13, the CA/Browser forum, and the email to DNS TXT contact DCV method:
十二月 3, 2020
CertCentral Orders page: Improved load times
In CertCentral, we updated the Orders page to improve load times for those managing high volumes of certificate orders. The next time you visit the Orders page, it will open much quicker (in the left main menu go to Certificates > Orders).
To improve load times, we changed the way we filter your certificate orders upon initial page view. Previously, we filtered the page to show only Active certificate orders. However, this was problematic for those with high volumes of certificate orders. The more orders you have in your account, the longer the Orders page took to open.
Now, when you visit the page, we return all your certificates, unfiltered, in descending order with the most recently created certificate orders appearing first in the list. To see only your active certificates, in the Status dropdown, select Active and click Go.
CertCentral Services API: Purchase units for subaccounts and view unit orders
In the CertCentral Services API, we've added new endpoints for purchasing units and viewing unit orders. Now, if you manage subaccounts that use units as the payment method for certificate requests, you can use the Services API to buy more units for a subaccount and to get information about your unit order history.
For more information, see the reference documentation for the new endpoints:
十一月 2, 2020
DigiCert replacing multiple intermediate CA certificates
On November 2, 2020, DigiCert is replacing another set of intermediate CA certificates (ICAs). For a list of the ICA certificates being replaced, see our DigiCert ICA Update KB article.
How does this affect me?
Rolling out new ICAs does not affect existing certificates. We don't remove an old ICA from certificate stores until all the certificates issued from it have expired. This means active certificates issued from the replaced ICA will continue to be trusted.
However, it will affect existing certificates if you reissue them as they will be issued from the new ICA. We advise you to always include the provided ICA with every certificate you install. This has always been the recommended best practice to ensure ICA replacements go unnoticed.
No action is required unless you do any of the following:
- Pin the old versions of the intermediate CA certificates
- Hard code the acceptance of the old versions of the intermediate CA certificates
- Operate a trust store that includes the old versions of the intermediate CA certificates
If you do any of the above, we recommend updating your environment as soon as possible. Stop pinning and hard coding ICAs or make the necessary changes to ensure certificates issued from the new ICAs are trusted (in other words, can chain up to their updated ICA and trusted root).
Intermediate CA certificate replacements
Make sure to monitor the pages listed below. These are active pages and are updated regularly with ICA certificate replacement information and copies of the new DigiCert intermediate CA certificates.
Why is DigiCert replacing intermediate CA certificates?
We are replacing ICAs to:
- Promote customer agility with ICA replacement
- Reduce the scope of certificate issuance from any given ICA to mitigate the impact of changes in industry standards and CA/Browser Forum guidelines to intermediate and end-entity certificates
- Improve the security of the Internet by ensuring all ICAs operate using the latest improvements
If you have questions or concerns, please contact your account manager or our support team.
十月 13, 2020
ICA certificate chain selection for public OV and EV flex certificates
We are happy to announce that public OV and EV certificates with flex capabilities now support Intermediate CA certificate chain selection.
You can add an option to your CertCentral account that enables you to control which DigiCert ICA certificate chain issues your public OV and EV "flex" certificates.
This option allows you to:
- Set the default ICA certificate chain for each public OV and EV flex certificate.
- Control which ICA certificate chains certificate requestors can use to issue their flex certificate.
Configure ICA certificate chain selection
To enable ICA selection for your account, contact your account manager or our Support team. Then, in your CertCentral account, on the Product Settings page (in the left main menu, go to Settings > Product Settings), configure the default and allowed intermediates for each type of OV and EV flex certificate.
For more information and step-by-step instructions, see ICA certificate chain option for public OV and EV flex certificates.
DigiCert Services API support for ICA certificate chain selection
In the DigiCert Services API, we made the following updates to support ICA selection in your API integrations:
- Created new Product limits endpoint
Use this endpoint to get information about the limits and settings for the products enabled for each division in your account. This includes ID values for each product's default and allowed ICA certificate chains. - Added support for ICA selection to public TLS OV and EV flex certificate order requests
After you configure allowed intermediates for a product, you can select the ICA certificate chain that should issue your certificate when you use the API to submit an order request.
Pass in the ID of the issuing ICA certificate as the value for theca_cert_idparameter in the body of your order request
Example flex certificate request:
For more information about using ICA selection in your API integrations, see OV/EV certificate lifecycle – (Optional) ICA selection.
十月 6, 2020
CertCentral: Add emergency contacts for your account
We are happy to announce we added a new emergency contact option to CertCentral. These email addresses receive all emergency communications, such as urgent security concerns, required certificate revocations, and changes to industry guidelines.
By default, CertCentral sends emergency notifications to the organization contact for the primary organization on your account. Until you update your emergency contacts, we also send these notifications to the email addresses assigned to receive all account notifications.
We recommend verifying and updating the emergency contacts for your account. It should only take a few minutes.
To verify and update the emergency contacts for your account:
- Sign in to your CertCentral account.
- In the left main menu, go to Settings > Notifications.
- On the Notifications page, in the Send all emergency notifications to box, enter the email addresses you want to receive all emergency communications.
- When you are finished, check Verify emergency contacts.
八月 21, 2020
Discovery: Delete all certificates and endpoints from scan results
We added a new Delete all certificates and endpoints option that enables you to delete certificate and endpoint information from your Discovery scan records in your CertCentral account.
To Delete all certificates and endpoints from scan results:
- In your CertCentral account, go to Discovery > Manage Discovery.
- On the Manage scans page, in the More actions dropdown, click Delete all certificates and endpoints.
- In the Delete all certificates and endpoints window, click Delete.
Permanently delete certificates and endpoint records
To permanently delete certificate and endpoint information from your scan results, you also need to remove the associated FQDNs and IP addresses from you scans. See Edit a scan.
四月 28, 2020
帐户的证书生命周期电子邮件语言首选项设置
我们为来自 CertCentral 的证书生命周期电子邮件增加了帐户语言设置。现在，在通知页面上，可以为整个帐户的证书生命周期电子邮件设置语言首选项。
我们目前为特定于证书生命周期的电子邮件提供 11 种语言支持：
- 英语
- 简体中文
- 繁体中文
- 法语
- 德语
- 意大利语
- 日语
- 朝鲜语
- 葡萄牙语
- 俄语
- 西班牙语
证书生命周期电子邮件语言支持是如何运作的？
转到 CertCentral 中的通知页面后，使用电子邮件语言下拉列表设置整个帐户的证书生命周期电子邮件语言。
例如，如果您将电子邮件语言设置为意大利语，则所有证书生命周期电子邮件将使用意大利语，无论单个帐户语言设置如何。
注意：电子邮件语言选项仅更改在证书生命周期电子邮件中使用的语言。它不会更改在单个帐户中使用的语言。在个人资料设置页面的语言下拉列表中设置帐户的语言。请参阅 CertCentral 语言首选项。
这些证书生命周期设置在哪里？
要访问证书生命周期电子邮件默认设置，在左侧主菜单中，转到设置 > 通知。有关更多信息，请参阅配置证书生命周期电子邮件设置。
新证书生命周期电子邮件设置
我们在证书生命周期电子邮件设置中新增了一项通知设置 —发送组织审批邮件给下达订单的用户。该设置允许您控制是否向证书申请人发送组织审批邮件。
组织审批邮件是什么？
如果申请人是管理员或组织联系人，我们会发送一封电子邮件，以通知他们 DigiCert 已验证组织，并且他们现在可以为其获取证书。
注意：该新设置仅适用于请求中包括新增但未经过验证的组织的订单。
这些证书生命周期设置在哪里？
要访问证书生命周期电子邮件默认设置，在左侧主菜单中，转到设置 > 通知。有关更多信息，请参阅配置证书生命周期电子邮件收件人。
四月 23, 2020
Discovery 目前在所有 CertCentral 帐户中均可用
我们很高兴地宣布，所有现有的 CertCentral 帐户目前都包括我们最新且最可靠的证书发现工具 — Discovery。
注意：对于使用证书检查器的用户，Discovery 会更换我们长期使用的 DigiCert 工具 — 证书检查器。
默认情况下，Discovery 包括云扫描和一次传感器扫描试用，最多限制 100 个证书。
云扫描
云扫描使用基于云的传感器，因此不需要安装或管理。您可以立即开始扫描，以查找您的所有面向公共的 SSL/TLS 证书，与证书颁发机构无关。云扫描每隔 24 小时运行一次。
- 有关更多信息，请参阅 Discovery 云扫描服务。
- 要首次运行云扫描，在左侧主菜单中，转到 Discovery > 管理 Discovery。在管理扫描页面上，单击单次云扫描。
传感器扫描
传感器扫描是我们最稳健的 Discovery 版本。它使用传感器扫描您的网络，以快速查找所有内部和公开的 SSL/TLS 证书，与证书颁发机构 (CA) 无关。Discovery 还会发现证书配置和实施中的问题，以及端点配置中与证书相关的漏洞或问题。
扫描在您的 CertCentral 帐户内集中配置和管理。扫描结果显示在 CertCentral 内的直观的交互式仪表板中。将扫描配置为按照设定的时间表运行一次或多次。
- 有关如何安装传感器并开始扫描 SSL/TLS 证书情况的信息，请参阅 Discovery 用户指南。
- 在试用期结束后要继续使用传感器扫描，请联系客户经理或我们的支持团队。
Discovery 审核日志
Discovery 新增了一项功能 —Discovery 审核日志，允许您跟踪 CertCentral 帐户中的 Discovery 相关活动。这些审核日志提供关于用户活动的见解，让您可以查看可能需要进行培训的领域、重新构建事件以排查问题、检测滥用行为以及发现问题领域。
为了更轻松地整理 Discovery 审核日志中的信息，我们纳入了多个筛选项：
- 日期范围
- 分区
- 用户
- IP 地址
- 操作
（例如，取消传感器、删除扫描，等等）
要访问 Discovery 审核日志，请在 CertCentral 帐户的左侧主菜单中，转到帐户 > 审核日志。在审核日志页面上，单击 Discovery 审核日志。
Discovery 语言支持
随着我们致力于将我们的产品推向全球，以及改进我们的网站、平台和文档的易访问性，我们很高兴地宣布，我们增加了 CertCentral 中的 Discovery 的语言支持。
现在，在 CertCentral 中配置语言首选项时，Discovery 包括在配置中。
配置语言首选项的步骤
在帐户右上角的"用户名"下拉列表中，选择我的个人资料。在个人资料设置页面的语言下拉列表中，选择一种语言并单击保存更改。
请参阅 CertCentral 语言首选项。
修复错误：DV 证书订单不支持“提交基域以进行验证”帐户设置。
我们修复了 DV 证书域控制验证 (DCV) 流程中的以下错误：DV 证书订单不遵循提交基域以进行验证帐户设置。
注意：对于 DV 证书订单，您必须按照订单中的准确域名进行验证。
现在，DV 证书订单支持提交基域以进行验证帐户设置，允许您在 DV 证书订单上的基域级别验证子域。
要查看帐户中的域验证范围设置，请转到设置 > 首选项。在“分区首选项”页面上，展开 +高级设置。域验证范围设置位于域控制验证 (DCV) 部分。
九月 25, 2019
我们修复了一些帐户无法提交组织进行 EV CS（代码签名组织扩展验证）的错误。受影响的帐户仅含有 EV 代码签名产品和代码签名产品。
作为修复的一部分，我们拆分了已验证的 EV 和 EV CS 联系人选项。从现在起，在提交组织进行 EV CS（代码签名组织扩展验证）时，只能提交组织的已经获得 EV CS 订单审批验证的联系人。同样，在提交组织进行 EV（扩展组织验证）时，只能提交组织的已经获得 EV SSL 证书订单审批验证的联系人。
注意：对于 EV 代码签名证书订单，需要对组织和组织的已验证的联系人进行预验证。有关组织预验证的更多信息，请参阅我们的关于提交组织以进行预验证的说明。
八月 13, 2019
我们修复了一些帐户管理员无法查看或编辑其 CertCentral 用户帐户详细信息的错误。现在，所有帐户管理员都可以再次查看和编辑用户帐户详细信息（电子邮件地址、角色等）。
DigiCert 很高兴宣布，DigiCert 帐户现在有资格升级至我们的新证书管理平台 DigiCert CertCentral，而且免费！
- 升级过程只需几秒钟。
- 无缝迁移证书和帐户。
- 附加权益包括改进的证书管理、优化的定价选项、高级功能，等等。
要进一步了解 CertCentral，请观看我们的短视频如何在 60 秒或更短时间内管理整个证书生命周期。
五月 24, 2019
我们的 CertCentral 组合中增加了一个新工具 - Discovery - 提供有关您整个 SSL/TLS 证书状况的实时分析。
为了快速找到您的所有内部和公开的 SSL/TLS 证书，无论证书颁发机构 (CA) 是什么，Discovery 能发现证书配置和实现中的问题，以及您的端点配置中与证书相关的漏洞或问题。
注意：Discovery 使用传感器扫描您的网络。传感器是您安装在战略性位置的小软件应用程序。每次扫描都关联一个传感器。
扫描在您的 CertCentral 帐户内集中配置和管理。扫描结果显示在 CertCentral 内的直观的交互式仪表板中。将扫描配置为按照设定的时间表运行一次或多次。
- 要对您的 CertCentral 帐户启用 Discovery，请联系您的客户经理或我们的支持团队。
- 有关设置和运行 Discovery 的信息，请参阅 Discovery：安装传感器并运行扫描。
五月 1, 2019
我们更新了 CertCentral SAML 联盟设置，您可以让联盟名称不显示在 SAML 单一登录 IdP 选择和 SAML 证书请求 IdP 选择页面的 IdP 列表中。
现在，在联盟设置页面的 IDP 元数据下，我们添加了包括联盟名称选项。如果您不希望联盟名称显示在 IdP 选择页面的 IdP 列表中,取消选中将我的联盟名称添加到 IdP 列表。
Secure Site Pro TLS/SSL 在 CertCentral 中可用。通过 Secure Site Pro，您按域缴费，无基本证书费用。添加一个域，则收取一个域的费用。如果需要 9 个域，则收取 9 个域的费用。一张证书上最多可保护 250 个域。
我们提供两种类型的 Secure Site Pro 证书，一种是 OV 证书，另一种是 EV 证书。
- Secure Site Pro SSL
获取适合您需要的 OV 证书。为一个域、一个通配符域及其所有子域提供加密和授权，或者使用使用者可选名称 (SAN) 保护一个证书上的多个域和通配符域。 - Secure Site Pro EV SSL
获取适合您需要的扩展验证证书。提供加密和授权以保护一个域或使用使用者可选名称 (SAN) 保护一个证书上的多个站点（完全限定的域名）。
每张 Secure Site Pro 证书所包含的优势
每张 Secure Site Pro 证书包括（免费）对未来在 CertCentral 中新增的高级功能（例如，CT 日志监视和验证管理）的最先访问权。
其他优势包括：
- 优先验证
- 优先支持
- 两个高级网站标章
- 恶意软件检查
- 行业一流保证
要对您的 CertCentral 帐户启用 Secure Site Pro 证书，请联系您的客户经理或我们的支持团队。
欲了解有关我们的 Secure Site Pro 证书的更多信息，请参阅 DigiCert Secure Site Pro。
公共 SSL 证书不再保护具有下划线的域名 ("_")。所有之前颁发的在域名中包含下划线的证书必须在此日期前失效。
注意：首选下划线解决方案是为含有下划线的主机名 (FQDN) 重命名并替换证书。但是，对于无法重命名的情况，您可以使用私有证书，而且在有些情况下，可以使用通配符证书保护整个域。
有关更多信息，请参阅停用域名中的下划线。
十二月 17, 2018
我们改进了 RapidSSL DV 证书组合，您可以在这些单域证书中包括第二个特定域。
- RapidSSL Standard DV
现在在订购 RapidSSL Standard DV 证书时，您将默认获得证书中的两个公用名版本 -[your-domain].com 和 www.[your-domain].com。
输入公用名后，确保选中在证书中同时包括 www.[your-domain].com 和[your-domain].com 框。
以前，您必须分别订购单独的证书：[your-domain].com 和 www.[your-domain].com。 - RapidSSL Wildcard DV
现在在订购 RapidSSL Wildcard DV 证书时，您将默认获得证书中的通配符域和基域 - *.[your-domain].com 和[your-domain].com。
输入公用名后，确保选中在证书中同时包括 *.[your-domain].com 和[your-domain].com 框。
以前，您必须分别订购单独的证书：*.[your-domain].com 和[your-domain].com。
我们改进了 RapidSSL 证书端点以包括 dns_names 参数，您可以在这些单域证书中包括第二个特定域。
- RapidSSL Standard DV
现在在订购 RapidSSL Standard DV 证书时，您可以在证书中包括两个域版本 -[your-domain].com 和 www.[your-domain].com。"common_name": "[your-domain].com",
"dns_names"：["www.[your-domain].com"],
以前，您必须订购单独的证书：[your-domain].com 和 www.[your-domain].com。 - RapidSSL Wildcard DV
现在在订购 RapidSSL Wildcard DV 证书时，您可以在证书中包括基域 - *.[your-domain].com 和[your-domain].com）。"common_name": "*.your-domain.com",
"dns_names"：["[your-domain].com"],
以前，您必须订购单独的证书：*.[your-domain].com 和[your-domain].com。
有关 DigiCert 服务 API 文件，请参阅 CertCentral API。
个人文档签名证书在 CertCentral 中可用：
- 文档签名 - 个人 (500)
- 文档签名 - 个人 (2000)
要对您的 CertCentral 帐户启用个人文档签名证书，请联系您的销售代表。
以前只提供组织文档签名证书。
- 文档签名 - 组织 (2000)
- 文档签名 - 组织 (5000)
欲了解有关这些证书的更多信息，请参阅文档签名证书。
十二月 7, 2018
RapidSSL 和 GeoTrust DV 证书在 CertCentral 中可用：
- RapidSSL Standard DV
- RapidSSL Wildcard DV
- GeoTrust Standard DV
- GeoTrust Wildcard DV
文档
- CertCentral：DV 证书注册指南 – https://docs.digicert.com/certcentral/documentation/dv-certificate-enrollment/
- CertCentral API：DV 证书注册指南 – https://www.digicert.com/certcentral-support/api-dv-certificate-workflow-endpoints-guide.pdf
一月 12, 2018
DigiCert 提供另一个公开可用的 CT 日志 (Nessie)。Nessie 是新推出的具有高度可扩展性和高性能的证书透明度 (CT) 日志。
该 CT 日志由五个日志组成，根据证书到期情况，以一年为增量分片。以下是 CT 日志端点 URL 及其证书到期范围。
- https://nessie2018.ct.digicert.com/log 2017 年 12 月 12 日
- https://nessie2019.ct.digicert.com/log 2019 年 1 月 1 日
- https://nessie2020.ct.digicert.com/log 2020 年 1 月 1 日
- https://nessie2021.ct.digicert.com/log 2021 年 1 月 1 日
- https://nessie2022.ct.digicert.com/log 2022 年 1 月 1 日