同时，Cloudflare 已与 GlobalSign 签署最终协议，计划收购一个已有广泛信任基础的根证书，以便未来签发的证书能够覆盖更多操作系统、浏览器和设备。

　　Cloudflare 表示，公司此次进入公共 CA 领域，是继 2014 年推出 Universal SSL 后在互联网加密基础设施方面的进一步布局。当年 Cloudflare 为旗下网站提供免费 TLS，使大量网站开始默认使用 HTTPS。

　　对于新建根证书而言，最大的问题是覆盖范围需要长期积累。即使获得浏览器和操作系统厂商认可，新根证书仍需要逐步进入全球设备的信任存储区，而已经停止更新的老旧设备通常无法获得新根证书。

　　因此，Cloudflare 计划同时采用两条路径：一方面使用从 GlobalSign 获得的现有根证书，覆盖已经部署在浏览器、操作系统和其他设备中的信任体系；另一方面申请新的根证书，使其符合未来根证书计划逐渐收紧的政策要求。Cloudflare 称，相关 GlobalSign 根证书自 2012 年起已获得多种浏览器、操作系统和设备信任。

　　Cloudflare 还计划提供免费的自动化证书服务，并以 ACME作为主要接口。该协议已被广泛用于自动申请和续期 TLS 证书，未来用户可以通过修改 ACME 目录地址，将现有免费 CA 的证书管理流程迁移到 Cloudflare，而无需重新设计基础设施。

　　Cloudflare 表示，目前 Lets Encrypt 每天签发约 1000 万张证书，服务超过 5 亿个网站，并在 2025 年累计达到超过 40 亿张活跃证书。Cloudflare 认为，免费自动化证书服务高度集中于少数 CA，因此需要更多具备相同自动化能力的公共 CA 来提供冗余。

　　Cloudflare 自身目前已经采用多家 CA 为客户提供证书，并设置主备证书路径，以应对 CA 服务中断和证书撤销等情况。公司表示，建立公共 CA 后，希望将这种冗余机制进一步扩展到整个互联网。

　　在可靠性方面，Cloudflare 计划要求使用其 CA 的客户端支持自动化续期，并将 ACME Renewal Information作为签发证书的条件之一。相关机制已标准化为 RFC 9773。

　　Cloudflare 还计划公开证书签发系统和运营信息，包括发布用于签发证书的软件可复现构建结果、对保存 CA 密钥的硬件安全模块进行证明，并提供公开的证书签发健康状态及安全事件面板。

　　除了传统 TLS 证书，Cloudflare 还计划布局后量子密码学。公司预计将在 2027 年第一季度开始签发生产环境的 Merkle Tree Certificates。这类证书旨在降低后量子密码体系下证书链不断增大所带来的 TLS 握手负担。

　　Cloudflare 表示，MTC 不会立即取代传统证书，互联网未来多年仍将同时使用现有 WebPKI 和传统证书。公司计划让传统证书与 MTC 在同一个 CA 中共存，使用户能够根据自身情况逐步完成向后量子认证体系的迁移。