Cloudflare planuje uruchomić publiczny urząd certyfikacji (CA), który ma wydawać zarówno tradycyjne certyfikaty TLS, jak i Merkle Tree Certificates (MTC). W chwili ogłoszenia, 29 września 2026 roku, firma nie rozpoczęła jeszcze ich wydawania. MTC mają korzystać z dowodu Merkle’a, który pozwala sprawdzić obecność certyfikatu w dzienniku przejrzystości.
Firma podpisała umowę przejęcia istniejącego, szeroko zaufanego certyfikatu głównego od GlobalSign i złożyła wnioski o dołączenie do programów zaufanych certyfikatów Chrome, Apple, Microsoft i Mozilla. Umowa i wnioski nie oznaczają zakończonego przejęcia ani uzyskanych zatwierdzeń.
Jak działa Merkle Tree Certificate
Cloudflare opisuje MTC jako certyfikat powiązany z wpisem w niezmienialnym dzienniku opartym na drzewie Merkle’a. Dowód przynależności łączy certyfikat z podpisanym nagłówkiem drzewa, dzięki czemu klient może sprawdzić, czy certyfikat znajduje się w dzienniku.
To podejście wiąże wydawanie certyfikatów z ich rejestrowaniem. W WebPKI, czyli systemie zaufania opartym na certyfikatach używanych w sieci, przejrzystość certyfikatów jest zwykle osobnym elementem procesu. Cloudflare planuje obsługiwać tradycyjne certyfikaty i MTC w ramach jednego urzędu certyfikacji, z tym samym cyklem życia i zestawem gwarancji. Ma to pozwolić na stopniowe przejście bez natychmiastowej zmiany w całym ekosystemie.
Usługa ma od początku wykorzystywać ACME — protokół automatyzujący wnioskowanie o certyfikaty i ich odnawianie. Cloudflare zapowiada też obsługę informacji ACME Renewal Information (ARI); subskrybenci będą musieli wspierać ten mechanizm.
Co zmierzył eksperyment Cloudflare z Chrome
W opisie technicznym opublikowanym 29 września 2026 roku Cloudflare podał, że w eksperymencie z Chrome certyfikaty MTC w wariancie landmark osiągnęły medianowo o 9% krótszy czas uzgadniania TLS niż łańcuch podpisów klasycznych. Większość różnicy firma przypisała pominięciu certyfikatów pośrednich.
Eksperyment wykorzystywał podpisy klasyczne, a nie postkwantowe. Wynik nie jest więc pomiarem wydajności produkcyjnych certyfikatów korzystających z podpisów postkwantowych. Cloudflare dostarczał MTC połowie użytkowników Chrome Beta 146 odwiedzających wybrane domeny firmy w bezpłatnym planie; podał też, że w teście obsłużono miliardy certyfikatów.
Planowany termin i bezpłatne wydawanie
Cloudflare celuje z rozpoczęciem produkcyjnego wydawania MTC w początek 2027 roku. Firma zapowiada, że standardowe certyfikaty MTC będą wydawane bezpłatnie. To planowana oferta publicznego urzędu certyfikacji, którego Cloudflare jeszcze nie uruchomił.
