CA/B 论坛投票 · SC-080v3
SC-080v3：基于 WHOIS 的域名验证退场
详细信息
- 投票
- SC-080v3
- 标题
- Sunset the use of WHOIS to identify Domain Contacts and relying DCV Methods
- 状态
- 通过
- 日期
- 2024-11-14
- 通过
- 生效
- BR 版本
- 2.1.2
- 官方页面
- cabforum.org
关键日期
- 域名联系人只能来自 IANA 列出的 WHOIS/RDAP 来源，不能用 HTTPS 网站
- 禁止使用方法 3.2.2.4.2 和 3.2.2.4.15
SC-080v3 废止了依赖 WHOIS“域名联系人”的验证方法：2025-07-15 起，CA 不能再通过给 WHOIS 里登记的联系人发邮件、传真、短信、寄信或打电话来证明你控制域名；在此之前，2025-01-15 起查 WHOIS 只能用 IANA 列出的官方来源。
改了什么
SC-080v3 加固了 WHOIS 查询，并废止了两种基于 WHOIS 的验证方法。查询方面，CA 必须使用 IANA 列出的 WHOIS 或 RDAP 服务器，不能依赖展示 WHOIS 数据的 HTTPS 网站。起因是 2024 年有研究披露，薄弱的 WHOIS 工具可以被利用来骗取证书。废止的是方法 3.2.2.4.2（向域名联系人发邮件、传真、短信或信件）和方法 3.2.2.4.15（电话联系域名联系人）。
生效日期
基线要求修改于 2024-12-16 生效；IANA 来源的规定从 2025-01-15 执行，两种方法从 2025-07-15 起禁用。
影响谁
SC-080v3 主要影响购买 OV、EV 证书，以及域名所有者不方便改 DNS、也不方便动服务器的场景，因为“发邮件给 WHOIS 联系人”曾是常见的兜底方式。国内很多注册商默认开启 WHOIS 隐私保护，这种方法本来就经常走不通。用 ACME 自动签发（acme.sh、certbot、宝塔面板）的站长不受影响。
该怎么做
改用基于 DNS 的验证（添加 TXT 记录，或 DNS-01，在 DNSPod、阿里云 DNS 等控制台操作即可）、基于网站的验证（HTTP-01 或上传验证文件），或者发到 admin@、webmaster@ 这类由 CA 构造的邮箱。不过 SC-090 已经安排这些邮件方法也逐步退场。