2026 年 10 月 22 日，eMudhra 宣布，将退出全球 SSL/TLS 证书业务。公司决定停止在全球范围内提供 SSL/TLS 证书相关的产品与服务，相关业务后续不再以原有形式继续开展。这一决定涉及公司在全球市场的 SSL/TLS 证书业务方向。这也意味着 eMudhra 将不再在全球市场保留 SSL/TLS 证书业务。
正文
印度班加罗尔，2026 年 10 月 22 日——eMudhra Limited（BSE：543533｜NSE：EMUDHRA）是一家全球数字信任公司，今日宣布，其董事会已决定自愿退出全球 SSL/TLS 证书业务。
eMudhra 董事长 V. Srinivasan 提到了近期与其全球 SSL/TLS 证书有关的事件，并表示公司处理该事件时尽职尽责：在发现后 14 小时内吊销了受影响的 CA，并及时披露。受影响的 CA 没有签发任何终端实体证书。其基础设施未遭入侵，也没有数据泄露，所有物理和逻辑安全控制均保持完好。
他补充说，全球 SSL/TLS 只是 eMudhra 业务的一小部分，约占全球收入的 1%。由于数据主权与合规要求不断提高，这项业务相关的复杂性和成本多年来持续上升。再加上一些大型机构免费签发 SSL/TLS 证书，相对于 eMudhra 的累计收入基数，这条业务线的潜力和投资回报也已大幅降低。
不过，围绕该事件在社交媒体上的放大程度，带来了与 SSL/TLS 在公司业务中实际地位不相称的关注。鉴于此，经详细审议，董事会得出结论：退出全球 SSL/TLS 是对 eMudhra 及其股东正确的决定。对许多证书颁发机构来说，SSL/TLS 就是全部业务；对 eMudhra 而言，它只是更广泛数字解决方案组合中的一部分。我们将把精力投入到为客户创造最大价值的地方，进一步聚焦核心企业解决方案以及 SSL/TLS 以外的信任服务。
客户的无缝过渡
在过渡完成之前，eMudhra 的 G1 RSA 根证书将继续为客户提供服务，公司会与浏览器项目及客户合作推进这一过渡。eMudhra 将联系受影响的客户，在过渡期间通过合作伙伴免费更换任何证书。吊销和证书状态服务会持续运行，直到每一张已签发证书到期或被替换。eMudhra 将履行对浏览器根项目的剩余承诺，包括提供一份完整的根本原因分析（root-cause）报告。
核心业务不受影响
eMudhra 的全球 SSL/TLS 基础设施与其他运营相互独立。公司的全球数字签名证书（DSC）、eSign 及其他签名服务（包括印度境内的服务）、企业 PKI 解决方案（emCA、CertiNext 平台）、emSigner 电子签名套件，以及身份与认证解决方案（SecurePass、emAS）均不受影响，继续正常运营。
关于 eMudhra
eMudhra 拥有超过 17 年的专业经验，是全球数字身份、信任与安全解决方案提供商，为银行和金融机构（BFSI）、企业及政府在全球超过 35 个国家实现安全的数字化转型。其产品组合包括 CertiNext（PKI 与证书生命周期管理）、SecurePass（身份与访问管理、多因素认证和融合身份），以及 PrivaTrust（面向全球数据隐私合规与 DSAR 的数据发现和同意管理），以人口规模提供高保障的数字信任。
评论
社区一边倒地嘲讽 eMudhra 在 SSL/TLS 私钥/证书事故后宣布退出全球业务，普遍把它看作在被浏览器根证书计划除名前的“先辞职”；分歧主轴在于该把责任归于 eMudhra 避重就轻、甩锅社交媒体的声明，还是归于 CA Forum 与 Apple、Google、Mozilla 当初不该把信任牌照发给这家缺乏安全能力的公司。少数反讽认为抽身算是止损甚至“不错的职业选择”，但没人真的原谅其逃避责任。
认为 eMudhra 的退出是“先辞职再被开除”，信誉已彻底破产
- 在私钥/随机数弱到被戏称为“4”的重大事故后，它已不可能被全球根证书生态继续信任；宣布退出全球 SSL/TLS 业务，被广泛解读为赶在被 Apple、Google、Mozilla 等正式取消信任之前主动退场。即便它转去聚焦 SSL/TLS 之外的信任服务，也没有留下任何可挽回的声誉，大家质问“谁还会信任它们”。（认可度：高赞） > “你不能开除我，是我先辞职的！”（@jerf）
批评其声明避重就轻，并把外界审查甩锅给社交媒体
- eMudhra 在新闻稿中称 SSL/TLS 只占其约 1% 全球收入，社交媒体的放大让外界审查“超出比例”，因此要聚焦其他信任服务。评论普遍认为这是没担当的说法：不为低级安全失误道歉，反而怪社媒；而“1% 收入”完全无视全球厂商和开发者为替换证书、升级运行时投入的成千上万工程小时。若连 SSL/TLS 都做不好，所谓其他信任服务更不值得托付。（认可度：高赞） > “把社交媒体放大当作借口太没担当，老实承认搞砸了、赶紧收尾就行。”（@gaa_s）
认为根证书计划和浏览器厂商才是更该被追责的一环
- 不少人把矛头指向 CA Forum 以及 Apple、Google、Mozilla：它们把 CA 许可与信任根发给一家远在天边、缺乏网络安全背景的小公司，本身才是系统性漏洞。由此引出更宏观的疑问——在近期冷钱包物理供应链都被接管的背景下，究竟什么人、通过什么流程就能拿到为任意对象签发证书的能力？也有人反问，当初为什么会有人选用这家既不知名又没有安全肌肉的 CA 的证书。（认可度：较多人） > “CA Forum、Apple、Google 和 Mozilla 难辞其咎，他们等于把牌照发给了远方的随机公司，而这家公司毫无安全背景。”（@jesuswasjew）
质疑“未签发终端实体证书”等说辞，并追问刑责与监管
- eMudhra 声称受影响的 CA 没有签发任何终端实体证书，但评论指出：既然私钥已经弱到形同公开或泄露，任何人都能用它签发证书，这种声明只是文字游戏。与此同时，不少人认为此事恐怕已涉及刑事问题，追问公司是否要为全球修补成本负责、当地监管机构是否应立案调查；也有人追问它靠签发约 6000 万张 SSL 证书这些年到底赚了多少。（认可度：较多人） > “他们说受影响的 CA 没有签发任何终端实体证书，可既然私钥已经形同公开，谁都能去签发，这声明很奇怪。”（@rahimnathwani）
有价值的补充
- Chrome 团队已在 Mozilla Bugzilla 公开提交了一组极为尖锐的质询，逐条拷问 eMudhra 的密钥管理与事件响应，被视为信任崩塌过程中的关键公开记录。
- 本次事故的技术核心被社区概括为“4”：其 CA 密钥或密码学随机数的熵极低，弱到只相当于数字 4；连常见的“5 Whys”复盘，在他们这里都只能写成“4 Whys”。这也是全球浏览器厂商和开发者要大面积替换信任、升级运行时的原因。
- 修复并不只是改一家 CA 的配置：各技术栈都要升级运行时，Python 生态因 certifi 依赖混乱而尤其麻烦，实际社会成本远高于 eMudhra 轻描淡写的“1% 收入”。