# SC-031：浏览器对齐，398 天上限写进基线要求

> SC-031“浏览器对齐”把各根证书计划自行制定的规定写进基线要求，包括 2020-09-01 起 TLS 证书最长 398 天的上限，以及 OCSP 和名称一致性要求。

Source: https://ssl.sh/zh/ballots/sc-031/
Last updated: 2026-11-10

398 天的 TLS 证书正是由 SC-031 正式写进 CA/B 论坛规则的。这次“浏览器对齐”投票把各浏览器根证书计划自行制定的要求搬进了[基线要求](https://ssl.sh/zh/glossary/baseline-requirements/)，其中就包括 2020-09-01 起签发的证书最长 398 天。

## 改了什么

SC-031 把各根证书计划自行制定的规定纳入了基线要求。投票文本说明了原因：各根证书计划在基线要求之外加了不少规定，这些规定没有独立审计，CA 只好同时满足所有计划规则的并集。最出名的一条是：2020-09-01 及以后签发的用户证书有效期不应超过 397 天，不得超过 398 天。此前 2019 年同样内容的投票 [SC-022v2](https://ssl.sh/zh/ballots/sc-022/) 未获通过，Apple 随后在 2020 年宣布 Safari 执行这一上限。其他 2020-09-30 起生效的改动涉及 OCSP 应答有效期、不同证书路径上主题和签发者名称逐字节一致、用户证书必须带 CA/B 论坛保留策略标识符，以及吊销子 CA 时必须给出有意义的原因码。

## 生效日期

投票于 2020-07-16 通过，基线要求修改于 2020-08-20 生效。398 天上限从 2020-09-01 起执行，其他大部分要求从 2020-09-30 起执行。

## 影响谁

所有购买 TLS 证书的人：两年期证书从此消失，一年一换成为常态。国内证书代理商此后也只能卖一年期证书，“多年期”变成了多次签发的套餐。提案来自 Google，Apple 和微软附议。

## 该怎么做

无需操作：398 天这条规定已在 2026-03-15 结束，[SC-081v3](https://ssl.sh/zh/ballots/sc-081/) 把上限降到了 200 天。完整历程见[证书有效期时间线](https://ssl.sh/zh/timeline/certificate-validity/)。


| 字段 | 值 |
|---|---|
| 投票 | SC-031 |
| 状态 | 通过 |
| 通过 | 2020-07-16 |
| 生效 | 2020-08-20 |
| BR 版本 | 1.7.1 |
| 官方页面 | https://cabforum.org/2020/07/16/ballot-sc031-browser-alignment/ |