Cloudflare kündigte am 29. September 2026 an, eine öffentliche Zertifizierungsstelle aufbauen zu wollen, die sowohl klassische TLS-Zertifikate als auch Merkle Tree Certificates (MTCs) ausgeben soll. Zum Zeitpunkt der Ankündigung hatte Cloudflare noch nicht mit der Ausgabe begonnen. Für den Start der produktiven MTC-Ausgabe peilt das Unternehmen Anfang 2027 an.

Cloudflare plant eine neue Zertifizierungsstelle

Cloudflare will beide Zertifikatsarten über eine Zertifizierungsstelle (CA) mit gemeinsamem Lebenszyklus und denselben Garantien anbieten. So soll der Wechsel zu MTCs schrittweise möglich sein. Cloudflare hat außerdem die Aufnahme in die Root-Programme von Chrome, Apple, Microsoft und Mozilla beantragt und eine verbindliche Vereinbarung zur Übernahme einer etablierten, breit vertrauenswürdigen Zertifikatswurzel von GlobalSign unterzeichnet.

So funktionieren Merkle Tree Certificates

Ein MTC nutzt einen Merkle-Baum, in dem Zertifikate in einem fortlaufend ergänzten Protokoll gebündelt werden. Ein kompakter Eintragsnachweis zeigt, dass ein bestimmtes Zertifikat im Baum enthalten ist; ein signierter Baumkopf bindet den Nachweis an den dokumentierten Stand des Baums. Damit wird die Zertifikatstransparenz Teil des Ausgabeprozesses.

Die WebPKI – das Vertrauenssystem, über das Browser TLS-Zertifikate prüfen – muss MTCs und ihre Signaturalgorithmen unterstützen. Cloudflare beschreibt verschiedene MTC-Formate, darunter Landmark-Zertifikate, bei denen Landmark-Daten außerhalb des Handshakes an Clients verteilt werden können.

Cloudflare plant außerdem, die Zertifizierungsstelle vorrangig auf ACME auszurichten. ACME ist ein Protokoll zur automatisierten Beantragung und Erneuerung von Zertifikaten. Abonnenten sollen zusätzlich ACME Renewal Information (ARI) unterstützen.

Was Cloudflares Chrome-Experiment zeigte

Cloudflare berichtete am 29. September 2026, dass Handshakes mit Landmark-MTCs in einem Chrome-Experiment im Median 9 Prozent schneller waren als in der Vergleichsvariante mit klassischer Signaturkette. Den größten Teil des Geschwindigkeitsvorteils führte das Unternehmen darauf zurück, dass Zwischenzertifikate entfielen.

Im Experiment erhielten 50 Prozent von Chrome Beta 146 für ausgewählte Cloudflare-Domains im kostenlosen Tarif MTCs; Cloudflare zufolge wurden dabei Milliarden MTCs ausgeliefert. Zum Einsatz kamen klassische Signaturen. Im August 2026 begann Cloudflare, das Experiment zurückzufahren.

Geplanter Zeitplan und Kosten

Cloudflare peilt für die produktive Ausgabe von MTCs Anfang 2027 an. Die standardmäßige Ausgabe soll kostenlos sein.