2026年哪些证书颁发机构可以签发VMC？

重要更新：BIMI证书的CA格局在2024年底发生了重大变化。如果您从Entrust购买了验证标记证书（VMC），您的续期路径已经改变。请在证书到期前阅读本文。

---

概述

验证标记证书（VMC）和通用标记证书（CMC）是通过BIMI使品牌标志能够在支持的邮件客户端中显示的加密凭证。并非每个证书颁发机构（CA）都有资格签发这些证书。

2024年11月，Entrust完全退出了公共证书业务，将其公共CA部门出售给了Sectigo。这一事件重塑了VMC签发格局，任何持有Entrust签发VMC的组织都需要采取行动。

本文内容包括：

• 2026年哪些CA有资格签发VMC和CMC
• Entrust公共CA业务的变化情况
• Entrust VMC持有者在续期时需要做什么
• 为什么Apple Mail对CA有更严格的要求

---

变化详情：Entrust的退出

2024年11月：Entrust停止签发公共证书

2024年11月，Entrust宣布将停止签发公共信任的TLS和标记证书，包括VMC。此决定是在Google早前宣布Chrome将不再信任新的Entrust TLS证书之后做出的——这一举措标志着业界对Entrust公共CA运营的信任度普遍下降。

关键事实：

• 作为公共证书业务收缩的一部分，Entrust已停止签发新的VMC。
• Entrust出售了其公共CA部门——包括证书签发基础设施和客户群——给Sectigo。
• 现有的Entrust签发的VMC在其标注的到期日之前仍然具有加密有效性。对于尚在有效期内的证书，无需立即采取行动。
• 续期必须通过其他合格的CA完成。Entrust将不再续签VMC。

Sectigo收购了什么

Sectigo并非简单地将Entrust证书改名。Sectigo收购了Entrust公共CA部门的运营基础设施和客户关系，成为原Entrust客户的延续路径。Sectigo现已独立获得VMC签发CA的资格。

---

2026年有资格签发VMC的CA

CA必须满足BIMI工作组的验证标记证书指南的要求，并维护一个被主要邮件提供商信任的根证书。截至2026年，以下CA有资格签发VMC：

| CA | VMC签发 | 备注 | |---|---|---| | DigiCert | ✅ 是 | 历史最悠久的VMC签发机构；支持广泛 | | Sectigo | ✅ 是 | 收购了Entrust的公共CA部门；VMC领域的新进入者 | | GlobalSign | ✅ 是 | 同时具备VMC和CMC签发资格 |

Entrust：❌ 不再签发VMC。已流通的Entrust签发的VMC在到期前仍然有效，但无法通过Entrust续期。

---

2026年有资格签发CMC的CA

通用标记证书（CMC）是一种较新的证书类型，无需注册商标即可实现BIMI标志显示——使更广泛的组织能够采用。截至2026年，合格的CMC签发机构包括：

| CA | CMC签发 | 备注 | |---|---|---| | GlobalSign | ✅ 是 | CMC早期采用者 | | SSL.com | ✅ 是 | 价格有竞争力；采用率增长中 | | DigiCert | ✅ 是 | 与其VMC产品保持一致 |

注意：CMC在各邮件客户端的支持仍在完善中。在部署时选择CMC而非VMC之前，请先确认当前的客户端支持情况。

---

Apple Mail与CA要求

Apple Mail比其他支持BIMI的客户端执行更严格的要求。具体来说：

• Apple Mail要求您的VMC必须由其明确认可的合格CA签发。
• 来自未被认可或已被除名CA的VMC将不会在Apple Mail中触发标志显示，即使该证书在技术上仍然有效。
• 这使得CA的选择成为送达率和品牌可见性的决策，而不仅仅是合规性检查项。

实际影响：如果您的受众使用Apple Mail——它在移动端邮件打开量中占有相当份额——您必须确保您的VMC由DigiCert、Sectigo或GlobalSign签发。来自不合格CA的过期或续期不当的证书将静默失败。

---

必要行动：Entrust VMC持有者

如果您的组织在2024年11月之前从Entrust购买了VMC，请按以下步骤操作：

1. 查找您的证书到期日期。检查您的证书管理门户或直接查看证书。Entrust VMC在其标注的到期日之前仍然有效——不会强制吊销。

1. 不要尝试通过Entrust续期。Entrust已不再签发公共证书。通过Entrust发起的任何续期流程都不会产生有效的新VMC。

1. 选择一个合格的替代CA。根据您的需求、预算和现有供应商关系，从DigiCert、Sectigo或GlobalSign中选择。

1. 准备您的SVG标志文件。VMC签发需要符合BIMI规范的SVG Tiny 1.2文件。如果您现有的SVG是为Entrust VMC准备的，在提交给新CA之前请确认它仍然符合当前规范要求。

1. 确认您的DMARC策略。有效的VMC需要执行中的DMARC策略（p=quarantine或p=reject）。在申请新证书之前，请确认您的DMARC记录配置正确。

1. 向所选CA提交您的VMC申请。请预留商标验证处理时间，根据CA和商标司法管辖区的不同，通常需要几天到几周不等。

1. 证书签发后，使用新证书URL更新您的BIMI DNS记录。bimi TXT记录的a=标签必须指向新的VMC位置。

---

2026年VMC与CMC的选择

| 因素 | VMC | CMC | |---|---|---| | 是否需要商标 | 是——需要注册商标 | 否 | | 邮件客户端支持 | 广泛，包括Apple Mail | 正在增长；请按客户端逐一确认 | | 签发CA | DigiCert、Sectigo、GlobalSign | GlobalSign、SSL.com、DigiCert | | 成本 | 较高 | 较低 | | 适合 | 拥有注册商标的成熟品牌 | 没有注册商标的品牌 |

如果您的组织持有注册商标并且目标受众使用Apple Mail，VMC仍是2026年的推荐选择。

---

总结

• Entrust于2024年11月退出公共证书签发业务，并将其公共CA部门出售给Sectigo。
• 2026年合格的VMC签发机构：DigiCert、Sectigo、GlobalSign。
• 2026年合格的CMC签发机构：GlobalSign、SSL.com、DigiCert。
• Entrust VMC在到期前仍然有效，但必须通过其他合格CA续期。
• Apple Mail要求VMC来自被认可的合格CA才能显示标志。
• Entrust VMC持有者必须在证书到期前采取行动，以避免标志显示中断。

---

后续步骤

准备您的BIMI资产并验证您的配置：