# SC-062v2：为 TLS 证书制定精确的证书配置文件

> SC-062v2 把基线要求第 7 节改写为精确的证书、CRL 和 OCSP 配置文件，2023-09-15 起生效（BR 2.0.0 版）。

Source: https://ssl.sh/zh/ballots/sc-062/
Last updated: 2026-11-10

SC-062v2 把[基线要求](https://ssl.sh/zh/glossary/baseline-requirements/)里措辞宽泛的证书规则变成了精确的配置文件。从 2023-09-15 起，第 7 节逐个字段写明了公开受信任的根证书、中间证书、TLS 用户证书以及 CRL、OCSP 响应必须包含、可以包含和禁止包含什么。

## 改了什么

SC-062v2 把第 7 节改成了一系列表格，比如用户证书允许哪些[扩展密钥用途](https://ssl.sh/zh/glossary/extended-key-usage/)、[使用者可选名称（SAN）](https://ssl.sh/zh/glossary/san/)怎么编码、哪些扩展是必需的。服务器证书工作组验证小组委员会的成员为此工作了大约三年。按投票的说法，它让证书签发方和使用方的预期一致，减少因配置文件不精确造成的混乱，并促进各方实现一致。大部分修改是对第 7 节现有规则的澄清，也有少量实质性改动涉及其他章节。提案来自 Google，Apple 和 HARICA 附议，修改发布为 BR 2.0.0 版。

## 生效日期

由于有少量实质性改动，投票采用统一生效日期：新配置文件自 2023-09-15 起强制执行。

## 影响谁

CA 需要重新配置证书模板。后续投票都以这些配置文件为基础，比如要求按配置文件做 lint 的 [SC-075](https://ssl.sh/zh/ballots/sc-075/)，以及废止其中一个配置文件的 [SC-092](https://ssl.sh/zh/ballots/sc-092/)。对站长来说，申请和安装证书的方式没有变化。

## 该怎么做

站长无需操作。如果某个工具提示 2023 年 9 月之前签发的证书有不常见的字段，那可能是配置文件出台前的旧格式。任何证书都可以用[证书解码工具](https://ssl.sh/zh/tools/certificate-decoder/)查看。


| 字段 | 值 |
|---|---|
| 投票 | SC-062v2 |
| 状态 | 通过 |
| 通过 | 2023-04-22 |
| 生效 | 2023-09-15 |
| BR 版本 | 2.0.0 |
| 官方页面 | https://cabforum.org/2023/03/17/ballot-sc062v2-certificate-profiles-update/ |