فهم تأثير ترحيل جذر GoDaddy على Expressway MRA

المقدمة 

يصف هذا المستند تأثير ترحيل شهادة جذر GoDaddy من G2 إلى (R1 + R1V1).

معلومات أساسية

يقوم GoDaddy بالانتقال من سياسة الجذر القديم (G2) إلى سلسلة شهادات الجذر R1 الجديدة. يجب أن تتضمن الشهادات الجديدة EKU لمصادقة الخادم فقط.

يؤثر هذا الانتقال على Expressway والمنتجات الطرفية الأخرى التي قامت بتثبيت شهادات GoDaddy.

يحدث انتقال الجذور بسبب:

• لا يوجد لدى الوسطاء الذين يقومون بالتوقيع/الإصدار من الفئة G2 أي من وحدات EKU المدرجة، مما يجعل هذا التسلسل الهرمي خارج نطاق الامتثال لمتطلبات برنامج Chrome Root. ونتيجة لذلك، يجب أن يتوقف الإصدار من وسطاء مجموعة العشرين المتضررين بحلول ذلك التاريخ.
• لا EKU يعني أن جميع الأغراض يتم تقديمها بشهادة.

مواصفات الشهادة

جذر قديم

سي إن: هيئة شهادة جذر GoDaddy - G2

انتهاء ‎الجمعة، ‎1 كانون الثاني ‎1، ‎2038 5:29:59 ص

SN 00

يتم إستبدال هذا الجذر القديم بالجذر الجديد R1.

جذر جديد

CN = GoFather TLS Root CA - R1

انتهاء ‎الجمعة، ‎أغسطس ‎24، ‎2040 5:29:59 م

SN 00da62ff9e2619b1257a4809368ee8e3f7

يوقع الجذر الجديد للخادم R1 على الوسيط الجديد على النحو المبين في الأقسام التالية.

الوسيط الجديد

CN = GoFather TLS Intermediate CA DV - R1v1

انتهاء ‎الجمعة، ‎أغسطس ‎24، ‎2040 5:29:59 م

SN 008aaa80515c0bc688c7955d70f27758ac

مخازن ثقة أنظمة التشغيل التي لها جذر G2 قديم، لن تثق في سلسلة جديدة من الشهادات (R1 + R1V1) لهذا الغرض قام GoDaddy بإنشاء مسار الثقة عبر - توقيع، حيث

تعتمد شهادة جذر R1 الجديدة على شهادة جذر G2 القديمة.

شهادة العلامة المتقاطعة

CN = GoFather TLS Root CA - R1

‎ انتهاء الصلاحية الجمعة، 1 كانون الثاني ‎‎1، ‎2038 5:29:59 ص

SN 0090de6c7fb3b50b3c0617724fc13402ad

إذا لم يتم تثبيت سلسلة صحيحة، أو أن السلسلة الجديدة (R1 + R1v1) التي تم تثبيتها فقط على مخزن Expressway Trust، أكشاك تسجيل هاتف MRA IP.

الخطأ الذي يظهر في Expressway PCAP هو مرجع مصدق غير معروف قادم من هاتف بروتوكول الإنترنت. يمكنك افتراض وجود مرجع مصدق مفقود على مخزن ثقة هاتف IP.

هاتف بروتوكول الإنترنت 88xx IP 135.x.25

172.x.x.34 Expressway

هناك أيضا حالة حيث لا يقبل مخزن ثقة Expressway شهادة العلامة التبادلية لأن شهادة الجذر الجديدة وشهادة العلامة التبادلية لها نفس اسم CN، كما في CN = GoDaddy TLS الجذر CA - R1.

إذا كان هذا هو الحال:

1. احذف شهادة R1 Root R1 SN 00da62ff9e2619b1257a4809368ee8e3f7.

2. تحميل شهادة العلامة التبادلية SN 0090de6c7fb3b50b3c0617724fc13402ad CN = GoDaddy TLS Root CA - R1.

شجرة الشهادة (جديدة إلى قديمة)

الملفات الهامة

يتم إصدار شهادة الأوراق بموجب المرجع المصدق (CA) الخاص بإصدار R1 DV، ولكن العملاء يصدقون عليها من خلال إنشاء سلسلة لشهادة GoDaddy Class 2 Root - G2 باستخدام الشهادة المتقاطعة R1 → G2 المنشورة. والمصنوعات ذات الصلة الموجودة في المستودع هي مرساة ثقة G2 (gdroot-g2)، والشهادة المتقاطعة (gd_tls_root-r1-cross-g2)، والإصدار الوسيط R1 DV (gd_tls_issuing_dv-r1v1)، وجذر التدرج الهرمي الأصلي (gd_tls_root-r1) certs.godadi.com. يتيح هذا النهج القائم على العلامات المشتركة للمستعرضات إمكانية التحقق من صحة السلسلة اليوم (التي يتم تثبيتها في G2)، بينما يتم نشر الثقة في R1 مع مرور الوقت.

معلومات ذات صلة

يتم توثيق تفاصيل الانتقال من الجذر القديم إلى الجذر الجديد هنا:

لماذا يقوم GoDaddy بإزالة ClientAuth EKU والانتقال إلى التسلسل الهرمي الجذر R1 لإصدار DV TLS؟

في حالة مواجهة هذه المشكلة، ها هو مستودع Godaddy لتنزيل الشهادة.

محفوظات المراجعة

المراجعة	تاريخ النشر	التعليقات
1.0	05-Aug-2026	الإصدار الأولي