Chrome 70 开始不信任 Symantec 证书了，又要有一大批网站更换证书吧

[nyanyh]

Version 70.0.3503.0 (Official Build) canary (64-bit)
访问 v2ex.com 已经弹出 NET::ERR_CERT_SYMANTEC_LEGACY 错误了，B 站使用的一个 acgvideo.com 也一样的证书错误

https://security.googleblog.com/2018/03/distrust-of-symantec-pki-immediate.html
中文版： https://googledeveloperschina.blogspot.com/2017/09/chrome-symantec.html
看了下 Google 的博客，还包括 Thawte, VeriSign, Equifax, GeoTrust 和 RapidSSL

Chrome 70 大约将在 2018 年 10 月 23 日所在的那一周发布，此版本将完全移除对 Symantec 旧基础架构及其已经发放的所有证书的信任。这将影响来自 Symantec 根证书的所有证书，但之前已经向 Google 披露的独立运营和审计的附属证书授权机构发放的少量证书不受影响。
需要从 Symantec 现有根证书和中间证书获取证书的网站运营者在 2017 年 12 月 1 日前仍可以从旧基础架构获取，但是，需要在 Chrome 70 之前重新替换这些证书。此外，从 Symantec 基础架构发放的证书的有效期将限制为 13 个月。网站运营者也可以从 Chrome 当前信任的任何其他证书授权机构获取替代证书，这些证书不受取消信任或有效期限的影响。

p.s Chrome 的证书错误页面，可以输入 badidea 或者 thisisunsafe 忽略错误

[bclerdx]

Chrome 的证书错误页面，可以输入 badidea 或者 thisisunsafe 忽略错误，这个怎么操作，请示范一下。

[nyanyh]

@bclerdx 就是在 Chrome 的错误页面，点页面空白处一下让键盘焦点处于页面内，然后依次按下 thisisunsafe，页面就会自动刷新了

[sneezry]

@bclerdx 就依次按下那几个键就行，不需要找什么输入框

[bclerdx]

@nyanyh
@sneezry
嗯，谢谢两位啦！

[yohanechan]

很多原来使用 Symentec 证书的网站换成了 DigiCert 证书，包括但不限于 Alipay、WeChat、CNNIC、知乎 和 学信网。Symentec 旗下品牌证书也在逐步使用 DigiCert 根证书，高端市场只剩 GlobalSign 和 DigiCert 两家独大。

[redsonic]

唉，好吧我又要把 mozilla-nss 里的一堆证书拉黑了。

[bclerdx]

@redsonic 拉黑干嘛？

[wdlth]

可惜 Google 还用着赛门铁克的代码签名证书……

[honeycomb]

@nyanyh 谢谢 workaround

[wdlth]

财付通没有换，看来已经不行了……

[lhx2008]

所以还有一年的免费证书可以申请吗

[cpdyj]

不知道对 let's encrypt 有没有影响

[580a388da131]

换 Google 自己的，一步到位。😒

[nciyuan]

@cpdyj Let's Encrypt Single 和 Let's Encrypt Wildcard 都是由直接根信任的 DST X3 签出来的 LE X1-4，虽然沃通和 StartCom 被 360 搞死了，赛门铁克被自己和谷歌搞死了，但是别忘了沃通最开始的证书是怎么提权信任的，就是靠 StartCom 的和 Comodo 的交叉信任提升为 Root CA，而大家也看到了 Comodo 的力量，这家公司真的是哲学般的牛逼。
@580a388da131 谷歌的小 CA 证书是由 GlobalSign R2 直接信任根证书签发的。

[SamClip]

苏宁的证书还是沃通的

[helllkz]

@cpdyj
Let's encrypt 都有 chrome 赞助的，那肯定是信任的

[redsonic]

@bclerdx 因为其他应用又不跟随 chrome，要想同样不信任这些证书只能拉黑 mozilla-nss 里面的证书。

[love4taylor]

刚更新了 70.0.3510.0 (Official Build) dev (64-bit)
不过 v2 和 b 站都没报错, 奇怪...

[7emes]

@Love4Taylor 国外的 ip 访问的话没问题。

[nnnnnelson]

@作者 @nyanyh @sneezry 谢谢几位了, 整了一个小时都没整好的问题, 原来还有这种高端操作!

[mrluffya]

可以增加一条参数启动 chrome...
argv -> `--ignore-certificate-errors`
e.g. "C:\Program Files (x86)\Google\Chrome\Application\chrome.exe" --ignore-certificate-errors