# SC-075：CA 签发前必须对证书做自动检查

> SC-075 要求公开受信任的 TLS CA 从 2025-03-15 起，对每张待签证书做自动 lint 检查，在误签发生前拦下格式错误。

Source: https://ssl.sh/zh/ballots/sc-075/
Last updated: 2026-11-10

SC-075 把“先检查再签名”变成硬性要求：从 2025-03-15 起，每家公开受信任的 TLS CA 都必须对每张待签名的证书运行自动 lint 流程，检查其技术内容是否符合[基线要求](https://ssl.sh/zh/glossary/baseline-requirements/)，让格式有问题的证书根本不被签出来。

## 改了什么

SC-075 新增了 §4.3.1.2“待签证书内容的 lint 检查”，并在 §8.7 建议对自查抽样的证书也做 lint。投票文本解释了原因：CA 已公开披露过很多起证书违反技术要求的事故，而业界已有免费的开源 lint 工具，在签发预证书之前运行就能拦住相当多的错误。投票没有指定必须用哪个工具。提案来自 HARICA，DigiCert 和 Mozilla 附议。

## 生效日期

基线要求修改于 2024-08-06 生效。签发前 lint 从 2025-03-15 起为必需；自查样本 lint 从同日起为建议。

## 影响谁

SC-075 直接影响 CA，间接影响所有曾因 CA 编码失误而被迫换证书的用户。按基线要求，误签的证书必须在几天内吊销，误签越少，突然要求换证书的情况就越少。

## 该怎么做

站长无需操作。如果想了解 lint 检查些什么，可以用[证书解码工具](https://ssl.sh/zh/tools/certificate-decoder/)查看自己证书的各个字段，再对照基线要求定义的[证书配置文件](https://ssl.sh/zh/ballots/sc-062/)。


| 字段 | 值 |
|---|---|
| 投票 | SC-075 |
| 状态 | 通过 |
| 通过 | 2024-06-28 |
| 生效 | 2024-08-06 |
| BR 版本 | 2.0.6 |
| 官方页面 | https://cabforum.org/2024/08/05/ballot-sc075-pre-sign-linting/ |