SC-022v2：2019 年未通过的“一年期证书”投票

SC-022v2 是 CA/B 论坛在 2019 年让 TLS 证书从最长 825 天缩短到一年左右的尝试。所有浏览器都投了赞成票，但多数 CA 反对，投票于 2019-09-10 失败，之后浏览器选择自己强制执行。

提案内容

SC-022v2 由 Google 提出，打算把证书最长有效期和域名验证复用期从 825 天缩短为一年一轮，并改用天和秒精确计算（允许一天的余量），而不是按月计算。提出的理由包括：误签问题能更快得到纠正；CRL 和 OCSP 吊销机制在互联网规模上并不可靠；域名换主人后，旧证书（“BygoneSSL”研究揭示的问题）能更早失效；一年一换会推动 ACME（RFC 8555）等自动化方案。

投票结果

SC-022v2 没有通过，因为证书签发方的赞成率只有 35%，低于要求的三分之二。签发方 11 票赞成（包括 Let's Encrypt、Sectigo、Amazon），20 票反对（包括 GlobalSign、GoDaddy、Entrust Datacard），2 票弃权。证书使用方 7 票全部赞成（Apple、Cisco、Google、微软、Mozilla、Opera、360），其中 360 是国内浏览器厂商。

后来发生了什么

2020 年 2 月，Apple 宣布 Safari 及其各平台将拒绝 2020-09-01 起签发、有效期超过 398 天的 TLS 证书，Google 和 Mozilla 随后跟进。SC-031 接着把 398 天上限写进了基线要求，2021 年 SC-042 又让验证复用期与之对齐。

为什么重要

SC-022v2 说明：即使 CA 投票否决，根证书计划也可以强制推行变化。下一次缩短有效期的 SC-081v3 在 2025 年以零反对票通过，并定下了 2029 年降到 47 天的路线。