# SC-061v4：新的 CRL 条目必须带吊销原因码

> SC-061v4 把 Mozilla 的 CRL 吊销原因码规则写进基线要求：2023-07-15 起，吊销 TLS 证书要记录明确的原因码。

Source: https://ssl.sh/zh/ballots/sc-061/
Last updated: 2026-11-10

SC-061v4 要求每次吊销都说清楚原因。从 2023-07-15 起，CA 吊销 TLS 证书时，新增的 [CRL](https://ssl.sh/zh/glossary/crl/) 条目必须带上符合情况的原因码，比如 keyCompromise（密钥泄露）或 superseded（已被取代），规则沿用 Mozilla 根证书政策里已有的要求。

## 改了什么

SC-061v4 修改了[基线要求](https://ssl.sh/zh/glossary/baseline-requirements/)的 §4.9.1.1（吊销用户证书的原因）和 §7.2.2（CRL 扩展）。§4.9.1.1 中每一种吊销情形都对应一个 CRL 原因：私钥泄露或可被算出时用 keyCompromise（#1）；证书误签或被替换时用 superseded（#4）；域名不再使用时用 cessationOfOperation（#5）；用户信息变化时用 affiliationChanged（#3）；CA 因滥用等原因收回证书时用 privilegeWithdrawn（#9）。没有说明原因的吊销记为“unspecified”，做法是不加 reasonCode 扩展。提案来自 Mozilla，Google Trust Services 和微软附议。

## 生效日期

基线要求修改于 2023-07-15 生效。

## 影响谁

SC-061v4 主要影响 CA，以及所有分析吊销数据的人。有了吊销原因，依赖方和研究人员能更清楚地区分“密钥泄露”和“例行替换”。

## 该怎么做

向 CA 或证书代理商申请吊销时，如实说明原因：私钥泄露就报告为密钥泄露，这样 CA 还能按 [SC-073](https://ssl.sh/zh/ballots/sc-073/) 阻止该密钥再被使用。用 ACME 吊销时可以在请求里带上原因码（例如 certbot 和 acme.sh 的吊销命令都支持指定原因）。


| 字段 | 值 |
|---|---|
| 投票 | SC-061v4 |
| 状态 | 通过 |
| 通过 | 2023-04-01 |
| 生效 | 2023-07-15 |
| BR 版本 | 1.8.7 |
| 官方页面 | https://cabforum.org/2023/03/02/ballot-sc061v4-new-crl-entries-must-have-a-revocation-reason-code/ |