日期：2019年4月30日

香港郵政核證機關於2019年7月1日的根源證書更替計劃更新

香港郵政核證機關根源證書更替計劃已於2019年2月1日開始（詳情請瀏覽2018年12月5日的新聞公告 https://www.eCert.gov.hk/news/press/85_c.html）。

由2019年7月1日起Root CA3簽發電子證書（伺服器）

由2019年7月1日起，電子證書（伺服器）（包括電子證書（伺服器）、電子證書（伺服器）"通用版"及電子證書（伺服器）"多域版"）將由根源證書CA3的中繼證書"Hongkong Post e-Cert SSL CA 3 - 17" 簽發。

由根源證書CA3簽發的電子證書（伺服器）將支援以下功能：

1. 支援以 ISO/IEC 10646字元編碼的中文網域名稱。
2. 支援當證書撤銷時，即時更新線上證書狀態應答。
3. 繼續受到一般的網頁瀏覽器（如Microsoft Internet Explorer/Edge, Mozilla Firefox, Apple Safari及Google Chrome）的信任。

持有2019年7月1日或以後簽發的電子證書（伺服器）的登記人，須進行以下改動，以便安裝了由Root CA3簽發的電子證書（伺服器）的網站繼續受到一般網頁瀏覽器的信任：

1. 在應用程式（例如網絡伺服器）安裝由根源證書 CA3簽發的中繼證書"Hongkong Post e-Cert SSL CA 3 - 17"。
2. 在應用程式（例如網絡伺服器）安裝由根源證書 CA1簽發的交叉證書"Hongkong Post Root CA 3"。

有關中繼證書、交叉證書及其安裝說明，可在香港郵政核證機關網頁下載，網址為https://www.eCert.gov.hk/product/download/root/index_c.html。

登記人可於2019年4月1日起，要求香港郵政核證機關提供測試用的電子證書 (伺服器) 、中繼證書 "Hongkong Post e-Cert SSL CA 3 – 17"、Root CA3 證書及交叉證書，以進行測試。登記人可致電香港郵政核證機關熱線2921 6633或電郵至enquiry@eCert.gov.hk要求提供測試用的電子證書。

由2019年7月1日起，因香港郵政核證機關更改網域名稱而變更的電子證書格式

由於香港郵政核證機關的網域名稱已於2018年6月起由www.hongkongpost.gov.hk更改為www.eCert.gov.hk（詳情請瀏覽2018年5月31日的新聞公告https://www.eCert.gov.hk/news/press/83_c.html），新根源證書CA2及新根源證書CA3所簽發的電子證書及銀行證書的某些格式欄位將於2019年7月1日起作出更改，詳情如下：

根源證書CA 3的中繼證書 "Hongkong Post e-Cert SSL CA 3 - 17" 簽發的電子證書（伺服器）：

欄位名稱		欄位內容 (由2019年7月1日起)
機構信息訪問 (Authority Information Access)	核證機關發出人 (Certification Authority Issuer)	URL=http://www1.eCert.gov.hk/root/ecert_ssl_ca_3-17.crt
	線上證書狀態通訊規約 (OCSP)	URL=http://ocsp1.eCert.gov.hk
證書政策 (Certificate policies)		核證作業準則裡面的URL包含網址 "www.eCert.gov.hk"
證書撤銷清單分發點 (CRL distribution points)		證書撤銷清單分發點裡面的URL包含網址 "crl1.eCert.gov.hk"

根源證書CA 2的中繼證書 "Hongkong Post e-Cert CA 2 - 15" 及中繼證書 "Hongkong Post e-Cert CA 2 - 17" 簽發的所有電子證書及銀行證書：

欄位名稱	欄位內容 (2019年7月1日之前)	欄位內容 (由2019年7月1日起)
證書政策 (Certificate policies)	核證作業準則裡面的URL包含網址 "www.hongkongpost.gov.hk"	核證作業準則裡面的URL包含網址 "www.eCert.gov.hk"
證書撤銷清單分發點 (CRL distribution points)	證書撤銷清單分發點裡面的URL包含網址 "crl1.hongkongpost.gov.hk"	證書撤銷清單分發點裡面的URL包含網址 "crl1.eCert.gov.hk"

登記人、獲授權代表及倚據人士應注意以下與2019年7月1日起更改證書格式有關的事項:

• 有關使用新網域名稱 "www.eCert.gov.hk" 發佈的證書撤銷清單（"CRL"）、授權撤銷清單（"ARL"）及在線上證書狀態應答（"OCSP"）的詳情，請參閱香港郵政核證機關根源證書更替計劃新聞公告的B部分。[URL https://www.eCert.gov.hk/news/press/85_c.html]
• 就現有由根源證書CA1簽發的電子證書，與及於2019年7月1日前由中繼證書 "Hongkong Post e-Cert CA 2 - 15" 和 "Hongkong Post e-Cert CA 2 - 17" 簽發的電子證書和銀行證書（"現有證書"）而言，有關香港郵政核證機關更改網域名稱而更改證書格式的安排，並不適用。現有證書的證書撤銷清單（"CRL"）、授權撤銷清單（"ARL"）及在線上證書狀態應答（"OCSP"）將繼續使用網域名稱 www.hongkongpost.gov.hk 進行更新和發佈，直至另行通知為止。
• 由於現有證書的證書撤銷清單（"CRL"）將繼續使用原來的網址發佈，建議您停止直接使用任何香港郵政核證機關的 IP地址下載上述的證書撤銷清單（"CRL"），以避免收到證書撤銷清單（"CRL"）下載更新失敗的任何可能誤報。

由2019年7月1日起，登記人、獲授權代表及倚據人士應確保客戶端應用程式能夠支援由現有及新中繼證書簽發和發佈的證書、證書撤銷清單（"CRL"）及在線上證書狀態應答（"OCSP" ）（其電子證書格式使用網域名稱可以是www.hongkongpost.gov.hk或www.eCert.gov.hk）。

如有查詢，請致電香港郵政核證機關客戶服務電話2921 6633或電郵至enquiry@eCert.gov.hk。