上网时地址栏有把小锁，意思是网站身份验证过了。验证靠数字证书，由证书机构签发。你可以理解成：证书机构给网站发身份证，手上有一枚印章，图案是串数字。

有一家证书机构，8 枚印章的图案是：4、56、66、115、155、156、230、237。

正常该是一百多位的长数字，实际是三位数以内。

所以任何人拿一份公开证书，挨个试 256 种可能，不到一秒就能把印章复制出来。

印章没被偷。它一直原地放着，没人碰过服务器。只是图案太短。

发现这事的人用这 8 枚印章各盖一句话，寄给几家浏览器公司："我们这儿有个问题——Wayne"。火狐 3 小时后封了，谷歌当天，苹果和微软这两天跟上。

这 8 枚印章是 2025 年 4 月做的，中间隔了 18 个月。

验证证书的时候，系统只检查"印章盖得对不对"，从不检查"图案够不够长、够不够乱"。

所以图案是 4 的印章，和真正乱序的长印章，验证结果一样：合格。

也没有记录会写下"这张证书是用烂印章盖的"。18 个月里，所有系统都显示正常。2008 年 Debian 也出过同一类错：生成环节出错，校验环节拦不住。

另一家更大的机构给这 8 枚印章做了担保，8 张变 16 张。

要是有人用它们冒充你常用的交易所或钱包网站，浏览器上那把锁还是绿的，网址也还是对的。中间人看到、改了什么，你不会知道，记录里也不留。

好消息是这 8 枚印章还没签过具体网站的证书，也无公开盗用报告。

坏消息是你的 Docker 镜像、旧服务器、摄像头，还有不查"证书是否作废"的软件，不会自己更新。它们还认这 16 张。

我倾向把这看成体系问题，不是哪家公司手滑。审核没拦住，因为它看的是流程。

下一次发现它的，还会是一个恰好去算了一遍的人吗？