SC-062v2：为 TLS 证书制定精确的证书配置文件

SC-062v2 把基线要求里措辞宽泛的证书规则变成了精确的配置文件。从 2023-09-15 起，第 7 节逐个字段写明了公开受信任的根证书、中间证书、TLS 用户证书以及 CRL、OCSP 响应必须包含、可以包含和禁止包含什么。

改了什么

SC-062v2 把第 7 节改成了一系列表格，比如用户证书允许哪些扩展密钥用途、使用者可选名称（SAN）怎么编码、哪些扩展是必需的。服务器证书工作组验证小组委员会的成员为此工作了大约三年。按投票的说法，它让证书签发方和使用方的预期一致，减少因配置文件不精确造成的混乱，并促进各方实现一致。大部分修改是对第 7 节现有规则的澄清，也有少量实质性改动涉及其他章节。提案来自 Google，Apple 和 HARICA 附议，修改发布为 BR 2.0.0 版。

生效日期

由于有少量实质性改动，投票采用统一生效日期：新配置文件自 2023-09-15 起强制执行。

影响谁

CA 需要重新配置证书模板。后续投票都以这些配置文件为基础，比如要求按配置文件做 lint 的 SC-075，以及废止其中一个配置文件的 SC-092。对站长来说，申请和安装证书的方式没有变化。

该怎么做

站长无需操作。如果某个工具提示 2023 年 9 月之前签发的证书有不常见的字段，那可能是配置文件出台前的旧格式。任何证书都可以用证书解码工具查看。