阿里云IoT平台根证书更新方案-物联网平台（文档停止维护）(IoT)-阿里云帮助中心

一、背景

鉴于GlobalSign R1根证书将于2028年1月28日到期，阿里云物联网平台当前使用的服务端证书由该根证书签发，为保障业务连续性，请您务必于2027年10月31日前完成设备端根证书更新及域名切换，逾期将导致设备因信任链失效无法连接平台。

本次适配整体提前启动，主要考虑到物联网平台与OSS、CDN、DNS等多云产品存在联动依赖，需预留充足时间完成跨产品证书协同轮换、全链路验证及异常兜底，同时为海量IoT设备的分批升级、兼容性测试提供缓冲窗口，避免临近根证书到期时集中变更引发系统性风险，确保生产环境平稳过渡。

请广大用户务必于2027年10月31日前完成设备端根证书更新及域名切换。

二、影响范围

1. 不受影响的设备

裸TCP的设备：设备没有使用TLS，不影响。

2. 受影响的设备

所有使用TLS的设备，到期后平台会下线R1证书。

说明

建议所有用户尽早完成根证书预埋与域名切换，避免临近过期日集中升级带来风险。

三、域名更新方案

MQTT 协议端口特殊说明：

1883 / 443（旧域名，不带 -x 后缀）：平台使用R1 证书，过期时间：2028年1月
1883 / 443（新域名，带 -x 后缀）：平台使用R46 证书，过期时间：2046年3月
8883（旧域名，不带 -x 后缀）：平台使用PCA 证书(阿里自签根证书)，过期时间：2053年7月

新域名在原域名基础上增加 -x 后缀以示区分：

MQTT 协议

PK 域名：{pk}.iot-as-mqtt.cn-shanghai.aliyuncs.com → {pk}-x.iot-as-mqtt.cn-shanghai.aliyuncs.com
实例化域名：{instanceid}.mqtt.iothub.aliyuncs.com → {instanceid}-x.mqtt.iothub.aliyuncs.com

HTTP / CoAP 协议

region域名：iot-as-http.cn-shanghai.aliyuncs.com → iot-as-http-x.cn-shanghai.aliyuncs.com
PK 域名：{pk}.coap.cn-shanghai.link.aliyuncs.com → {pk}-x.coap.cn-shanghai.link.aliyuncs.com
实例化域名：{instanceid}.http.iothub.aliyuncs.com → {instanceid}-x.http.iothub.aliyuncs.com
实例化域名：{instanceid}.coap.iothub.aliyuncs.com → {instanceid}-x.coap.iothub.aliyuncs.com

id2协议

PK 域名：{pk}.itls.cn-shanghai.aliyuncs.com → {pk}-x.itls.cn-shanghai.aliyuncs.com
Region 域名：x509.itls.cn-shanghai.aliyuncs.com → x509-x.itls.cn-shanghai.aliyuncs.com
实例化域名：{instanceid}.id2.iothub.aliyuncs.com → {instanceid}-x.id2.iothub.aliyuncs.com

预认证/设备分发功能：采用HTTPS协议

Region 域名：iot-auth.cn-shanghai.aliyuncs.com → iot-auth-x.cn-shanghai.aliyuncs.com
Region 域名：iot-auth-global.cn-shanghai.aliyuncs.com → iot-auth-global-x.cn-shanghai.aliyuncs.com
Region 域名：iot-auth-global.aliyuncs.com → iot-auth-global-x.aliyuncs.com
实例化域名：{instanceid}.auth.iothub.aliyuncs.com → {instanceid}-x.auth.iothub.aliyuncs.com

服务端订阅协议：采用AMQP或者HTTP2

PK amqp域名：{pk}.iot-amqp.cn-shanghai.aliyuncs.com → {pk}-x.iot-amqp.cn-shanghai.aliyuncs.com
PK http2域名{pk}.iot-as-http2.cn-shanghai.aliyuncs.com → {pk}-x.iot-as-http2.cn-shanghai.aliyuncs.com
实例化amqp域名：{instanceid}.amqp.iothub.aliyuncs.com → {instanceid}-x.amqp.iothub.aliyuncs.com
实例化http2域名：{instanceid}.http2.iothub.aliyuncs.com → {instanceid}-x.http2.iothub.aliyuncs.com

四、用户需要做什么

1. 设备端预埋多证书

设备端需支持多根证书配置，以便服务端证书升级时平滑过渡。建议预埋以下根证书：

推荐：R1、R46、PCA同时使用

说明

同时预埋多张 RSA 根证书会增加 ROM 占用，请评估设备资源。

开源接入用户：拷贝根证书后，自行更新根证书。

阿里云SDK接入用户：参考SDK根证书更新操作指引，证书已经预埋。

2. 切换到新域名

开源接入用户：将连接地址切换到对应协议的新域名（带 -x 后缀），即可连接到新集群。

阿里云SDK接入用户：参考SDK根证书更新操作指引。

五、常见问题

Q1: 物联网平台设备需要什么时候完成OTA升级？
由于第三方证书机构GlobalSign的全球公共信任根证书（GlobalSign Root R1）将于2028年1月到期（属行业计划性根证书更替，非阿里云单方面调整），行业内的主流应用会在证书到期前将其设置为不可信。基于行业内主流应用的处理方式，阿里云物联网平台提供了证书升级和域名更新方案，将于2027年10月31日启动证书和域名替换。建议物联网平台的客户、物联网智能视频服务的客户尽快升级，升级最晚支持时间为2027年10月31日零点。
- 2026年10月31日零点前：使用标准OSS OTA方案（所有设备均支持）；2026年10月31日零点后：使用CDN技术方案（该方案依赖设备支持TLS SNI能力，无法保障所有设备均支持）。建议尽量使用OSS OTA方案执行升级。
- 2027年10月31日零点后：物联网平台将逐步下线R1证书。如果您的设备未升级，无法保证物联网平台OTA升级功能的可用性，也无法保障使用R1证书与物联网平台连接。
- 2028年1月（R1证书到期）：如果您的设备未升级，则无法使用物联网平台提供的所有服务。
Q2：物联网智能视频服务设备需要什么时候完成升级？
由于第三方证书机构GlobalSign的全球公共信任根证书（GlobalSign Root R1）将于2028年1月到期（属行业计划性根证书更替，非阿里云单方面调整），行业内的主流应用会在证书到期前将其设置为不可信。建议物联网智能视频服务的客户尽快升级，物联网平台OTA升级最晚支持的时间为2027年10月31日零点。相关时间点和影响说明：
- 阿里云OSS已更换了新加坡region的证书，并在多个region启动了证书升级替换。为了保障物联网智能视频服务图片上传功能的可用性，物联网智能视频服务已于2026年9月8日完成升级，升级后不受OSS证书升级替换的影响。
  图片上传升级后使用新的OSS域名。如果您的设备配置了域名白名单，建议同时将设备图片上传和 OTA 使用的旧域名和新域名都配置到白名单中：
  - 设备图片上传使用的旧域名：
    cn-shanghai: link-vision-picture-sh.oss-cn-shanghai.aliyuncs.com
    ap-southeast-1: link-vision-picture-sgp.oss-ap-southeast-1.aliyuncs.com
    eu-central-1: link-vision-picture-de.oss-eu-central-1.aliyuncs.com
    us-east-1: link-vision-picture-us-east.oss-us-east-1.aliyuncs.com
  - 设备图片上传使用的新域名：
    cn-shanghai: link-vision-picture-sh.oss.aliplus.com
    ap-southeast-1: link-vision-picture-sg-v2.oss.aliplus.com
    eu-central-1: link-vision-picture-de.oss.aliplus.com
    us-east-1: link-vision-picture-us-east.oss.aliplus.com
  - 设备 OTA 使用的旧域名：
    cn-shanghai: iotx-ota.oss-cn-shanghai.aliyuncs.com
    ap-southeast-1: iotx-ota-sg.oss-ap-southeast-1.aliyuncs.com
    eu-central-1: iotx-ota-de.oss-eu-central-1.aliyuncs.com
    us-east-1: iotx-ota-eus.oss-us-east-1.aliyuncs.com
  - 设备 OTA 使用的新域名：
    cn-shanghai: ota-cn-shanghai.iot-thing.aliyuncs.com
    ap-southeast-1: ota-ap-southeast-1.iot-thing.aliyuncs.com
    eu-central-1: ota-eu-central-1.iot-thing.aliyuncs.com
    us-east-1: ota-us-east-1.iot-thing.aliyuncs.com
- 受限于阿里云物联网平台的证书和域名替换，物联网智能视频服务的客户要在2027年10月31日零点前完成设备升级。2027年10月31日零点之后，如果您的设备未升级，则无法使用图片上传服务，也无法保障OTA升级功能的可用性。
Q3：设备不支持 TLS SNI，能用新方案吗？
多证书方案依赖 TLS SNI 能力按域名选择证书。如果设备不支持 SNI：
- 如果设备只使用MQTT 协议，可以使用PCA 证书+8883 端口方案；
- 其他协议暂无替代方案，建议优先升级设备端 TLS 库以支持 SNI（主流 SDK 如 C / Java / Android / Python / JS 已默认支持）。
Q4：设备不能 OTA，会怎样？
此类设备在 R1 证书过期后将无法连接。请尽早推动设备换代。
Q5：设备只使用mqtt协议，同时使用了PCA证书和8883端口，是否需要更新？
不需要。
Q6: 设备使用TCP接入，没有使用TLS协议，是否需要更新？
不需要。
Q7: 固定IP接入，怎么升级？
- 如果设备只使用mqtt协议，可以使用PCA证书+8883端口接入。
- 如果设备支持其他协议，建议使用域名接入，同时预埋三个根证书。
Q8: 设备通过浏览器接入(websocket协议)，怎么升级？
不埋根证书（系统自带R46），使用-x后缀的域名即可。
Q9: 设备资源受限的情况，怎么更新？
如果3个根证书都埋进去会导致资源受限的话，建议只埋R46这个证书，但请注意风险：设备如果直连了其他云产品，需找其他云产品对齐证书类型。
Q10: 如何验证新的根证书是否生效？
请参见如何验证新的根证书生效。
Q11：移动端应用使用了飞燕的APP SDK，是否需要更新？
如果您的移动端应用集成了飞燕的APP SDK，需要同步更新。如果不更新，2027年10月31日后，会影响消息上报（例如，设备状态变更后，需要手动刷新页面）。更新后的APP SDK：com.aliyun.alink.linksdk:public-channel-core:0.8.2.noid2
Q12：如何验证设备是否支持 SNI？
请参见如何验证和开启SNI功能。

六、联系我们

如在更新过程中遇到任何问题，可通过阿里云 IoT 平台工单或您的商务接口人反馈，我们将协助您完成升级。

七、根证书下载

1、R1根证书

2、R46根证书

3、PCA根证书(阿里云IoT平台自签，只用于mqtt协议的8883端口)