Apple 原始 Developer ID 认证机构（Sub-CA）将于 2027 年 2 月 1 日到期。它签发的每一张证书同时失效——还在用这些证书签名的 Mac 应用，在用户机器上可能通不过校验。
发生了什么
Apple 宣布：现有 Developer ID 证书背后的中间机构——原始 Developer ID 认证机构（Sub-CA），2027 年 2 月 1 日到期。Developer ID 是 Mac 软件在 App Store 之外分发时、向 Gatekeeper 证明「来自已识别开发者」的凭证。Sub-CA 到期后，其链上的证书不再有效，受影响的安装包和应用将无法自证来源。这是硬性的日历 deadline，不是分阶段灰度：旧链签的所有东西一刀切。
影响谁
所有在 App Store 之外分发 Mac 软件的团队——官网直下、企业分发、公证过的工具类应用；只要签名证书是这个 Sub-CA 签发的，都在范围内。发布流水线很久没换过证书的，先假设自己在范围内，查了再说。
KappS 解读
- 现在就盘点，别等 2027 年 1 月。把所有在发版本列出来，逐个确认 Developer ID 证书的签发机构。
- 把重新签名＋重新公证排进计划——这会牵动构建产物、安装包、自动更新源和所有 pin 住证书哈希的地方。
- 把它当发布计划来排，而不是运维救火。早换的团队能避开 1 月份所有人同时发现问题的拥堵。
- 需要用户更新就提前公告。悄悄换证书导致自动更新挂掉，比提前说一声糟得多。