据SiliconANGLE报道，Cloudflare于9月29日宣布计划成为公共证书颁发机构，除现有传统证书外，还将从同一系统签发名为Merkle Tree Certificates的后量子证书。
该格式针对的是后量子证书的体积问题。文章称，新标准化的一种后量子签名算法输出达2420字节，而多数网站目前使用的椭圆曲线方案为64字节，一次典型连接还会携带多份证书。Cloudflare预计，能够破解当前加密的量子计算机将在数年内出现。
Merkle Tree Certificates由Cloudflare参与撰写，作为互联网工程任务组（IETF）的草案规范。该方案不在每次连接中发送大体积签名，而是用一份轻量证明来说明证书位于受信任的公共日志中，由该证明完成验证工作。
Cloudflare表示，去年10月宣布的与谷歌Chrome团队的联合实验已获成功。非营利证书颁发机构Let's Encrypt在6月表示，预计2027年在生产环境中签发该格式证书。Cloudflare则称，Merkle Tree Certificates的生产签发计划于2027年第一季度开始。
自建证书颁发机构改变了Cloudflare以往处理证书的方式。其开发者文档列出三家外部颁发机构，Let's Encrypt是其中之一，为Cloudflare免费Universal SSL项目签发证书。文章指出，少数主导提供商承担了网络上大部分证书签发，Cloudflare将这种集中称为系统性风险，认为其中任何一家失效或被攻破都会造成问题。
首席执行官Matthew Prince将该举措与Universal SSL联系起来。Cloudflare于2014年推出该项目，为数百万网站提供免费证书，公司称该项目一夜之间使网络加密流量翻倍。Prince称，在量子计算机能够破解之前升级网络安全，是“互联网历史上最大的协调挑战之一”。
旧硬件是新机构面临的实际障碍之一。不再获得软件更新的手机永远不会把新的根证书加入其信任列表。Cloudflare计划收购一份旧设备已经识别的既有根证书，公司称这将使其证书立即在旧硬件上可用。公告未披露该根证书及其当前所有者。Cloudflare还已向Chrome、苹果、微软和Mozilla运营的根证书项目提交申请。
新机构的运营计划对外开放检查。Cloudflare打算发布可复现的代码构建，并运行实时公开的健康状态仪表盘；目前对证书颁发机构的检查主要依靠定期审计。网站所有者将可在同一系统中管理传统证书与后量子证书。自动续期信号的互联网标准RFC 9773将允许Cloudflare在吊销期间于后台为数百万网站更换证书。
传统证书的签发将在浏览器根证书项目接受Cloudflare申请后开始，公司未给出日期。