SC-031：浏览器对齐，398 天上限写进基线要求

398 天的 TLS 证书正是由 SC-031 正式写进 CA/B 论坛规则的。这次“浏览器对齐”投票把各浏览器根证书计划自行制定的要求搬进了基线要求，其中就包括 2020-09-01 起签发的证书最长 398 天。

改了什么

SC-031 把各根证书计划自行制定的规定纳入了基线要求。投票文本说明了原因：各根证书计划在基线要求之外加了不少规定，这些规定没有独立审计，CA 只好同时满足所有计划规则的并集。最出名的一条是：2020-09-01 及以后签发的用户证书有效期不应超过 397 天，不得超过 398 天。此前 2019 年同样内容的投票 SC-022v2 未获通过，Apple 随后在 2020 年宣布 Safari 执行这一上限。其他 2020-09-30 起生效的改动涉及 OCSP 应答有效期、不同证书路径上主题和签发者名称逐字节一致、用户证书必须带 CA/B 论坛保留策略标识符，以及吊销子 CA 时必须给出有意义的原因码。

生效日期

投票于 2020-07-16 通过，基线要求修改于 2020-08-20 生效。398 天上限从 2020-09-01 起执行，其他大部分要求从 2020-09-30 起执行。

影响谁

所有购买 TLS 证书的人：两年期证书从此消失，一年一换成为常态。国内证书代理商此后也只能卖一年期证书，“多年期”变成了多次签发的套餐。提案来自 Google，Apple 和微软附议。

该怎么做

无需操作：398 天这条规定已在 2026-03-15 结束，SC-081v3 把上限降到了 200 天。完整历程见证书有效期时间线。