# SC-067v3：CA 必须从多个网络位置验证域名

> SC-067v3 强制要求多视角签发确认（MPIC）：域名验证和 CAA 检查要从多个网络位置重复执行，2025 到 2026 年分阶段落地。

Source: https://ssl.sh/zh/ballots/sc-067/
Last updated: 2026-11-10

SC-067v3 要求所有公开受信任的 TLS CA 在签发证书前，除了在自己的机房验证域名控制权和 [CAA](https://ssl.sh/zh/glossary/caa/) 记录，还要从多个远程“网络视角”再验一遍。这就是[多视角签发确认（MPIC）](https://ssl.sh/zh/glossary/mpic/)，2025-03-15 起强制执行，到 2026-12-15 分阶段收紧。

## 改了什么

SC-067v3 在[基线要求](https://ssl.sh/zh/glossary/baseline-requirements/)里新增了 §3.2.2.9。CA 的主视角照常验证，远程视角再重复一次 HTTP、DNS 或 TLS-ALPN 验证和 CAA 查询，结果必须一致。各远程视角不能共用 DNS 缓存，2026 年起还必须分布在至少两个区域互联网注册管理机构（RIR）的服务区域。投票给出的理由是：已有攻击者通过 BGP 劫持骗过域名验证、拿到不属于自己网站的证书，而局部劫持很难只靠路由安全手段挡住。

## 生效日期

基线要求文本于 2024-09-06 生效。2025-03-15 起 CA 必须用至少 2 个远程视角，但结果不一致时仍可签发；2025-09-15 起强制法定数。之后最低视角数在 2026-03-15 升到 3 个，2026-06-15 升到 4 个，2026-12-15 升到 5 个。2 到 5 个视角允许 1 个不一致，6 个及以上允许 2 个。截至 2026 年 11 月，执行的是 4 个视角这一阶段。

## 影响谁

CA 需要建设或采购分布式验证节点。对国内站长影响最直接的是：如果服务器防火墙、云安全组或 CDN 只放行国内 IP、屏蔽海外访问，或者 DNS 按地区返回不同结果，海外的验证节点就可能访问失败，证书签不下来或续不上。

## 该怎么做

让 `/.well-known/acme-challenge/` 路径和权威 DNS 在全球返回一致的结果；如果做了地区封禁（比如宝塔防火墙的“禁止海外访问”），要给验证路径放行，或者直接改用 [DNS-01](https://ssl.sh/zh/glossary/dns-01/) 验证。MPIC 同时会重复的另一项检查见 [CAA 记录详解](https://ssl.sh/zh/learn/caa-records/)。


| 字段 | 值 |
|---|---|
| 投票 | SC-067v3 |
| 状态 | 通过 |
| 通过 | 2024-08-02 |
| 生效 | 2024-09-06 |
| BR 版本 | 2.0.7 |
| 官方页面 | https://cabforum.org/2024/08/05/ballot-sc067v3-require-domain-validation-and-caa-checks-to-be-performed-from-multiple-network-perspectives-corroboration/ |