日期：2019年4月30日

香港邮政核证机关于2019年7月1日的根源证书更替计划更新

香港邮政核证机关根源证书更替计划已于2019年2月1日开始（详情请浏览2018年12月5日的新闻公告 https://www.eCert.gov.hk/news/press/85_sc.html）。

由2019年7月1日起Root CA3签发电子证书（伺服器）

由2019年7月1日起，电子证书（伺服器）（包括电子证书（伺服器）、电子证书（伺服器）"通用版"及电子证书（伺服器）"多域版"）将由根源证书CA3的中继证书"Hongkong Post e-Cert SSL CA 3 - 17" 签发。

由根源证书CA3签发的电子证书（伺服器）将支援以下功能：

1. 支援以 ISO/IEC 10646字元编码的中文网域名称。
2. 支援当证书撤销时，即时更新线上证书状态应答。
3. 继续受到一般的网页浏览器（如Microsoft Internet Explorer/Edge, Mozilla Firefox, Apple Safari及Google Chrome）的信任。

持有2019年7月1日或以后签发的电子证书（伺服器）的登记人，须进行以下改动，以便安装了由Root CA3签发的电子证书（伺服器）的网站继续受到一般网页浏览器的信任：

1. 在应用程式（例如网络伺服器）安装由根源证书 CA3签发的中继证书"Hongkong Post e-Cert SSL CA 3 - 17"。
2. 在应用程式（例如网络伺服器）安装由根源证书 CA1签发的交叉证书"Hongkong Post Root CA 3"。

有关中继证书、交叉证书及其安装说明，可在香港邮政核证机关网页下载，网址为https://www.eCert.gov.hk/product/download/root/index_sc.html。

登记人可于2019年4月1日起，要求香港邮政核证机关提供测试用的电子证书 (伺服器) 、中继证书 "Hongkong Post e-Cert SSL CA 3 – 17"、Root CA3 证书及交叉证书，以进行测试。登记人可致电香港邮政核证机关热线2921 6633或电邮至enquiry@eCert.gov.hk要求提供测试用的电子证书。

由2019年7月1日起，因香港邮政核证机关更改网域名称而变更的电子证书格式

由于香港邮政核证机关的网域名称已于2018年6月起由www.hongkongpost.gov.hk更改为www.eCert.gov.hk（详情请浏览2018年5月31日的新闻公告https://www.eCert.gov.hk/news/press/83_sc.html），新根源证书CA2及新根源证书CA3所签发的电子证书及银行证书的某些格式栏位将于2019年7月1日起作出更改，详情如下：

根源证书CA 3的中继证书 "Hongkong Post e-Cert SSL CA 3 - 17" 签发的电子证书（伺服器）：

栏位名称		栏位内容 (由2019年7月1日起)
机构信息访问 (Authority Information Access)	核证机关发出人 (Certification Authority Issuer)	URL=http://www1.eCert.gov.hk/root/ecert_ssl_ca_3-17.crt
	线上证书状态通讯规约 (OCSP)	URL=http://ocsp1.eCert.gov.hk
证书政策 (Certificate policies)		核证作业准则里面的URL包含网址 "www.eCert.gov.hk"
证书撤销清单分发点 (CRL distribution points)		证书撤销清单分发点里面的URL包含网址 "crl1.eCert.gov.hk"

根源证书CA 2的中继证书 "Hongkong Post e-Cert CA 2 - 15" 及中继证书 "Hongkong Post e-Cert CA 2 - 17" 签发的所有电子证书及银行证书：

栏位名称	栏位内容 (2019年7月1日之前)	栏位内容 (由2019年7月1日起)
证书政策 (Certificate policies)	核证作业准则里面的URL包含网址 "www.hongkongpost.gov.hk"	核证作业准则里面的URL包含网址 "www.eCert.gov.hk"
证书撤销清单分发点 (CRL distribution points)	证书撤销清单分发点里面的URL包含网址 "crl1.hongkongpost.gov.hk"	证书撤销清单分发点里面的URL包含网址 "crl1.eCert.gov.hk"

登记人、获授权代表及倚据人士应注意以下与2019年7月1日起更改证书格式有关的事项:

• 有关使用新网域名称 "www.eCert.gov.hk" 发布的证书撤销清单（"CRL"）、授权撤销清单（"ARL"）及在线上证书状态应答（"OCSP"）的详情，请参阅香港邮政核证机关根源证书更替计划新闻公告的B部分。[URL https://www.eCert.gov.hk/news/press/85_sc.html]
• 就现有由根源证书CA1签发的电子证书，与及于2019年7月1日前由中继证书 "Hongkong Post e-Cert CA 2 - 15" 和 "Hongkong Post e-Cert CA 2 - 17" 签发的电子证书和银行证书（"现有证书"）而言，有关香港邮政核证机关更改网域名称而更改证书格式的安排，并不适用。现有证书的证书撤销清单（"CRL"）、授权撤销清单（"ARL"）及在线上证书状态应答（"OCSP"）将继续使用网域名称 www.hongkongpost.gov.hk 进行更新和发布，直至另行通知为止。
• 由于现有证书的证书撤销清单（"CRL"）将继续使用原来的网址发布，建议您停止直接使用任何香港邮政核证机关的 IP地址下载上述的证书撤销清单（"CRL"），以避免收到证书撤销清单（"CRL"）下载更新失败的任何可能误报。

由2019年7月1日起，登记人、获授权代表及倚据人士应确保客户端应用程式能够支援由现有及新中继证书签发和发布的证书、证书撤销清单（"CRL"）及在线上证书状态应答（"OCSP" ）（其电子证书格式使用网域名称可以是www.hongkongpost.gov.hk或www.eCert.gov.hk）。

如有查询，请致电香港邮政核证机关客户服务电话2921 6633或电邮至enquiry@eCert.gov.hk。