9月30日起证书查询新规落地：你的第三方测试报告能被核验吗？

近期有两件与“核验”有关的事接连落地：

2026年9月30日，市场监管总局2026年第28号公告《关于加强认证信息报送和认证证书信息查询管理的公告》正式施行；

• 2026年9月10日，认监委升级后的检验检测报告编号查询系统已恢复机构端上传（认秘函〔2026〕50号），10月8日，该系统将向社会公众开放查询。

• 

• 证书查询与报告编码查询
  

也就是说，认证那侧的规则已经生效，报告那侧的公众查询还要等两周。但方向是一致的：以后拿第三方测试报告去投标、验收、接入，能不能被核验，权重会明显上升。（这是行业趋势判断，非官方口径）

一、证书和报告，走的是两条路

1.第28号公告管的是认证证书。

核心就一句：“谁发证、谁负责”。认证机构必须通过自有网站等渠道，向公众提供免费、实时、便捷的证书有效性查询方式，并且严禁以任何形式把国家认监委网站包装成自己的查询入口。认证计划要在实施至少3日前报送，认证结果产生后1日内报送，证书暂停、注销、撤销的状态要在作出决定的同时报送。

更关键的一条是：认证机构被注销或撤销资质、受到责令改正或停业整顿等行政处罚的，国家认监委网站会在该机构出具的证书基本信息查询结果上，对机构名称加施相应状态标识。以后查一份证书，看到的可能不只是“有效”，旁边还挂着“该机构已被撤销资质”之类的提示。

2.检验检测报告走的是另一套系统。

升级后的报告编号查询系统引入了区块链、哈希值等技术：机构登录检验检测统计直报系统，下载专用PC客户端，选择报告电子原件（PDF/OFD）上传，系统自动生成唯一哈希值并与报告编号绑定，供监管人员调取原始文件比对核验。相比旧系统，上传内容新增了委托人名称、授权签字人、检测机构联系方式；账号实行“一账号一机构”，严禁转让、出借或委托他人使用。

这里要说一句实话：哈希值压缩的是“套号、事后改页”的空间，不等于给报告内容背书。公众查询端目前做的是字段检索，不是哈希比对；如果机构上传的那份文件本身就有问题，哈希值照样对得上。所以它提升的是可追溯性，而不是替代对机构本身的判断。

二、你的报告，现在该怎么核验？

1.对于CNAS报告（2026年“一单一库”后通用软件测试的合规主选），核验走CNAS官网。CNAS明确回复：带有CNAS标识的报告，登录CNAS官网“在线服务—信息查询”栏目，输入机构注册号，可以确认该机构是否为受CNAS认可的机构。但报告本身的内容真伪，仍需联系出具报告的实验室直接确认。

2.对于检验检测报告编号查询系统，10月8日之后可以直接在升级后的系统里输入编号查询。建议同步做两件事：一是核对系统里展示的委托人名称、授权签字人信息是否与纸质报告完全一致；二是根据页面展示的联系方式，直接向机构确认。

3.对于招投标场景，2026年“一单一库”新政后，通用软件测试的CMA章已经盖不了了。如果你收到的报告是2026年6月1日之后出具、却盖着CMA章的，本身就存在合规问题。当前软件测试报告的合规核心是CNAS认可，选机构时应登录CNAS官网核对认可范围是否覆盖“软件测试”。

三、两个容易踩空的细节

一是“一单一库”的边界。市场监管总局2026年第14号公告自2026年6月1日起施行，绝大多数通用软件测试（通用软件功能/性能/兼容性测试、常规信息安全测试、企业自研系统验收测试等）未纳入法定清单，因此不再标注CMA标志。

但有两个例外要留余地：

①业务属于清单内11大类、且采用的标准已入能力项目库的特定行业软件测试，仍可依法标注CMA；

②6月1日前已取得资质认定的能力项目证书到期前仍然有效，6月1日前已签订委托合同的，可在原能力范围内出具加盖CMA标志的报告。

所以，收到一份2026年6月1日后出具且带CMA章的软件测试报告，不要直接断定违规，而是应当核实它是否属于上述例外情形；反过来，如果对方拿不出合理解释，这份报告的合规性就值得打问号。

软件测试报告

二是上传有两个前置条件。

机构需完成最近一期检验检测统计直报才能上传报告编号；

新获资质认定的机构当年一般无法上传，可待次年完成统计后再补传。这意味着，短期内“查不到”的概率不低，别一查不到就下结论，也别拿“查不到”去攻击对手，这两头都容易翻车。

说到底，核验这件事正在从“加分项”变成“必答题”。报告编号能不能被系统查出来，以后就是判断一份报告是否有效的第一道关。与其等到被退回来再手忙脚乱，不如现在就把手里那份报告拿出来，花几分钟查一查。

标签：软件测试报告、测试机构