# SC-080v3：基于 WHOIS 的域名验证退场

> SC-080v3 规定 CA 只能从 IANA 列出的来源查询 WHOIS 域名联系人，并从 2025 年 7 月起禁用 WHOIS 邮件和电话验证方法 3.2.2.4.2、3.2.2.4.15。

Source: https://ssl.sh/zh/ballots/sc-080/
Last updated: 2026-11-10

SC-080v3 废止了依赖 WHOIS“域名联系人”的验证方法：2025-07-15 起，CA 不能再通过给 WHOIS 里登记的联系人发邮件、传真、短信、寄信或打电话来证明你控制域名；在此之前，2025-01-15 起查 WHOIS 只能用 IANA 列出的官方来源。

## 改了什么

SC-080v3 加固了 WHOIS 查询，并废止了两种基于 WHOIS 的验证方法。查询方面，CA 必须使用 IANA 列出的 WHOIS 或 RDAP 服务器，不能依赖展示 WHOIS 数据的 HTTPS 网站。起因是 2024 年有研究披露，薄弱的 WHOIS 工具可以被利用来骗取证书。废止的是方法 3.2.2.4.2（向域名联系人发邮件、传真、短信或信件）和方法 3.2.2.4.15（电话联系域名联系人）。

## 生效日期

基线要求修改于 2024-12-16 生效；IANA 来源的规定从 2025-01-15 执行，两种方法从 2025-07-15 起禁用。

## 影响谁

SC-080v3 主要影响购买 OV、EV 证书，以及域名所有者不方便改 DNS、也不方便动服务器的场景，因为“发邮件给 WHOIS 联系人”曾是常见的兜底方式。国内很多注册商默认开启 WHOIS 隐私保护，这种方法本来就经常走不通。用 ACME 自动签发（acme.sh、certbot、宝塔面板）的站长不受影响。

## 该怎么做

改用基于 DNS 的验证（添加 TXT 记录，或 [DNS-01](https://ssl.sh/zh/glossary/dns-01/)，在 DNSPod、阿里云 DNS 等控制台操作即可）、基于网站的验证（[HTTP-01](https://ssl.sh/zh/glossary/http-01/) 或上传验证文件），或者发到 admin@、webmaster@ 这类由 CA 构造的邮箱。不过 [SC-090](https://ssl.sh/zh/ballots/sc-090/) 已经安排这些邮件方法也逐步退场。


| 字段 | 值 |
|---|---|
| 投票 | SC-080v3 |
| 状态 | 通过 |
| 通过 | 2024-11-07 |
| 生效 | 2024-12-16 |
| BR 版本 | 2.1.2 |
| 官方页面 | https://cabforum.org/2024/11/14/ballot-sc080v3-sunset-the-use-of-whois-to-identify-domain-contacts-and-relying-dcv-methods/ |