CA/B 论坛投票 · SC-067v3
SC-067v3：CA 必须从多个网络位置验证域名
详细信息
- 投票
- SC-067v3
- 标题
- Require domain validation and CAA checks to be performed from multiple Network Perspectives Corroboration
- 状态
- 通过
- 日期
- 2024-08-05
- 通过
- 生效
- BR 版本
- 2.0.7
- 官方页面
- cabforum.org
关键日期
- 至少 2 个远程视角做 MPIC（结果不一致仍可签发）
- 强制法定数：不一致的视角过多时禁止签发
- 至少 3 个远程视角，分布在 2 个以上 RIR 区域
- 至少 4 个远程视角
- 至少 5 个远程视角
SC-067v3 要求所有公开受信任的 TLS CA 在签发证书前，除了在自己的机房验证域名控制权和 CAA 记录，还要从多个远程“网络视角”再验一遍。这就是多视角签发确认（MPIC），2025-03-15 起强制执行，到 2026-12-15 分阶段收紧。
改了什么
SC-067v3 在基线要求里新增了 §3.2.2.9。CA 的主视角照常验证，远程视角再重复一次 HTTP、DNS 或 TLS-ALPN 验证和 CAA 查询，结果必须一致。各远程视角不能共用 DNS 缓存，2026 年起还必须分布在至少两个区域互联网注册管理机构（RIR）的服务区域。投票给出的理由是：已有攻击者通过 BGP 劫持骗过域名验证、拿到不属于自己网站的证书，而局部劫持很难只靠路由安全手段挡住。
生效日期
基线要求文本于 2024-09-06 生效。2025-03-15 起 CA 必须用至少 2 个远程视角，但结果不一致时仍可签发；2025-09-15 起强制法定数。之后最低视角数在 2026-03-15 升到 3 个，2026-06-15 升到 4 个，2026-12-15 升到 5 个。2 到 5 个视角允许 1 个不一致，6 个及以上允许 2 个。截至 2026 年 11 月，执行的是 4 个视角这一阶段。
影响谁
CA 需要建设或采购分布式验证节点。对国内站长影响最直接的是：如果服务器防火墙、云安全组或 CDN 只放行国内 IP、屏蔽海外访问，或者 DNS 按地区返回不同结果，海外的验证节点就可能访问失败，证书签不下来或续不上。
该怎么做
让 /.well-known/acme-challenge/ 路径和权威 DNS 在全球返回一致的结果；如果做了地区封禁（比如宝塔防火墙的“禁止海外访问”），要给验证路径放行，或者直接改用 DNS-01 验证。MPIC 同时会重复的另一项检查见 CAA 记录详解。