SC-075：CA 签发前必须对证书做自动检查

SC-075 把“先检查再签名”变成硬性要求：从 2025-03-15 起，每家公开受信任的 TLS CA 都必须对每张待签名的证书运行自动 lint 流程，检查其技术内容是否符合基线要求，让格式有问题的证书根本不被签出来。

改了什么

SC-075 新增了 §4.3.1.2“待签证书内容的 lint 检查”，并在 §8.7 建议对自查抽样的证书也做 lint。投票文本解释了原因：CA 已公开披露过很多起证书违反技术要求的事故，而业界已有免费的开源 lint 工具，在签发预证书之前运行就能拦住相当多的错误。投票没有指定必须用哪个工具。提案来自 HARICA，DigiCert 和 Mozilla 附议。

生效日期

基线要求修改于 2024-08-06 生效。签发前 lint 从 2025-03-15 起为必需；自查样本 lint 从同日起为建议。

影响谁

SC-075 直接影响 CA，间接影响所有曾因 CA 编码失误而被迫换证书的用户。按基线要求，误签的证书必须在几天内吊销，误签越少，突然要求换证书的情况就越少。

该怎么做

站长无需操作。如果想了解 lint 检查些什么，可以用证书解码工具查看自己证书的各个字段，再对照基线要求定义的证书配置文件。